211service.com
Seguridad de mashup
Los mashups, aplicaciones en línea que combinan datos y herramientas de diferentes sitios web, son cada vez más útiles. Aunque comenzaron como simples programas para el consumidor, como una herramienta que colocó listados de viviendas de Craigslist sobre mapas de Google , los mashups han aumentado en complejidad y también se están volviendo populares entre las corporaciones. A medida que se lanza un número creciente de herramientas para ayudar a las personas a crear mashups fácilmente, los expertos también están estudiando cómo evitar los riesgos de seguridad.
Una mezcla insegura: Los métodos actuales de creación de mashups, que combinan datos y herramientas de múltiples fuentes en la Web, pueden generar problemas de seguridad. Los expertos están buscando formas de preservar la amplia libertad creativa que ofrecen los mashups al mismo tiempo que los hacen más seguros de usar. Esto es de particular interés para los usuarios empresariales que desean crear mashups.
Muchos mashups solo comparten texto, dice David Boloker, cofundador de Alianza OpenAjax y De IBM CTO de Tecnologías Emergentes de Internet. Corren el riesgo, en el peor de los casos, de incluir datos incorrectos o protegidos por derechos de autor. Sin embargo, a medida que los mashups se vuelven más complejos, han comenzado a incorporar código de computadora de múltiples fuentes. En este punto, ahora estamos haciendo un puente hacia un código que no es de confianza, dice Boloker. Por ejemplo, una empresa de bienes raíces podría querer que un mashup funcione con listados de una base de datos interna. El mashup puede ejecutar los listados a través de herramientas de terceros para compararlos con los precios de la competencia en los mismos códigos postales, y luego usar una herramienta adicional de terceros para mapear todas las casas en el mercado. Sin salvaguardas de seguridad, este mashup podría hacer que la base de datos interna de la empresa sea vulnerable a códigos maliciosos en cualquiera de esas herramientas de terceros.
Los navegadores web no se diseñaron pensando en los mashups y las verrugas han estado ahí desde el primer día, dice Boloker. Los navegadores contienen una función de seguridad denominada política del mismo origen que está destinada a evitar que el código malicioso alojado en un sitio obtenga datos, como las credenciales almacenadas, de otro sitio. La política del mismo origen evita que los sitios web de un dominio soliciten datos que pertenecen a otro dominio.
Sin embargo, Helen Wang , investigador senior en el grupo de sistemas y redes de Investigación de Microsoft , explica que la política del mismo origen falla al obligar a las aplicaciones web de hoy a sacrificar la seguridad o la funcionalidad. Ella dice que una gran cantidad de funciones excelentes, como la de los mashups, proviene del uso de herramientas de múltiples fuentes. El problema es que cuando el creador del sitio web inserta un código escrito por un tercero en su sitio, la política del mismo origen ya no ofrece ninguna protección y el código insertado probablemente tenga acceso a la información almacenada en el sitio del creador. Por ejemplo, si el creador de un foro inserta una aplicación de mapas en su sitio, el código de la aplicación de mapas podría acceder a los datos de inicio de sesión del foro. Los creadores de mashups, dice Wang, o renuncian a la seguridad al aceptar esos riesgos y confiar en las herramientas de terceros, o renuncian a la funcionalidad al negarse a sí mismos el uso de herramientas que no son de confianza.
Chuck Willis, consultor principal de seguridad de Mandiant , una empresa de seguridad de la información, dice que a muchos desarrolladores les gustaría que algunos de los controles, como la política del mismo origen, se relajen. El usuario promedio necesita que las cosas permanezcan como están, dice, ya que la mayoría de los usuarios no comprenden las consecuencias de dar acceso a herramientas de terceros. Pero los esfuerzos para relajar las protecciones existentes deben abordarse con cuidado.
Wang de Microsoft ha estado trabajando para resolver el problema proporcionando una forma para que los navegadores reconozcan el código que proviene de un tercero y lo traten de manera diferente al del sitio web anfitrión. Ella propone incluir código de terceros en una etiqueta de caja de arena, que actuaría como una especie de vidrio unidireccional. Permitiría que el sitio web más grande hiciera uso del código contenido en la caja de arena, pero trataría ese código como contenido no autorizado, sin autoridad fuera de la caja de arena. Cualquier información que requiera el código de terceros podría incluirse dentro de la caja de arena. Sin embargo, para que esta solución sea eficaz, la etiqueta de la zona de pruebas debería convertirse en un estándar web aceptado. Wang ha construido un prototipo de Internet Explorer que reconoce la etiqueta, pero señala que tomaría tiempo para que la etiqueta se adopte en todos los navegadores.
A principios de este mes, IBM lanzó una herramienta de seguridad llamada SMash (abreviatura de mashups seguros) que tiene como objetivo resolver el problema sin cambiar el navegador. SMash permite que el contenido de múltiples fuentes se muestre en una sola página y permite que las herramientas se comuniquen de manera segura, explica Larry Koved, científico de seguridad Web 2.0 de IBM Research. Un canal de comunicación seguro monitorea la información enviada entre herramientas, mientras mantiene sus identidades separadas y conjuntos separados de permisos. Un creador de mashup que usa SMash conecta cada herramienta a un concentrador que luego se encarga de monitorear los mensajes enviados entre herramientas, en busca de actividad sospechosa. Koved dice que cada herramienta incluida en el mashup puede controlar cómo se transforman y presentan sus datos.
SMash, dice Boloker, sacrifica la capacidad de interconectar estrechamente los widgets dentro de un mashup para mantenerlo seguro y fácil de hacer. IBM planea incorporar SMash en su producto Lotus Mashups, que se lanzará este verano, y la compañía también ha donado el código a OpenAjax Alliance, que permite que cualquier fabricante de mashups lo use.
Chris Warner, director de marketing de mashup maker JackBe , dice de las ofertas existentes, En general, la seguridad de mashup es todavía un poco del salvaje oeste. Como miembro de OpenAjax Alliance, dice, JackBe planea admitir SMash y otros estándares lanzados a través de la alianza. Agrega que el próximo paso para la industria de mashup es asegurarse de que desarrollamos una imagen universal de seguridad.