211service.com
Sécurité des mashups
Les mashups – des applications en ligne qui combinent des données et des outils de différents sites Web – deviennent de plus en plus utiles. Bien qu'ils aient commencé comme de simples programmes destinés aux consommateurs, tels que un outil qui a placé des listes de logements de Craigslist sur Google Maps , les mashups sont devenus de plus en plus complexes et deviennent également populaires auprès des entreprises. Alors qu'un nombre croissant d'outils sont publiés pour aider les gens à créer facilement des mashups, les experts examinent également comment éviter les risques de sécurité.
Un mélange précaire : Les méthodes actuelles de création de mashups, qui combinent des données et des outils provenant de plusieurs sources sur le Web, peuvent introduire des problèmes de sécurité. Les experts cherchent des moyens de préserver la grande liberté de création qu'offrent les mashups tout en les rendant plus sûrs à utiliser. Ceci est particulièrement préoccupant pour les utilisateurs professionnels qui souhaitent créer des mashups.
De nombreux mashups ne partagent que du texte, déclare David Boloker, cofondateur du Alliance OpenAjax et IBM Directeur technique des technologies Internet émergentes. Ils risquent, au pire, d'inclure des données incorrectes ou protégées par le droit d'auteur. Cependant, à mesure que les mashups deviennent plus complexes, ils ont commencé à incorporer du code informatique provenant de plusieurs sources. À ce stade, nous passons maintenant à un code non fiable, dit Boloker. Par exemple, une société immobilière peut souhaiter qu'un mashup fonctionne avec les annonces d'une base de données interne. Le mashup peut exécuter les listes via des outils tiers à des fins de comparaison avec les prix des concurrents dans les mêmes codes postaux, puis utiliser un outil tiers supplémentaire pour cartographier toutes les maisons du marché. Sans mesures de sécurité, ce mashup pourrait rendre la base de données interne de l'entreprise vulnérable au code malveillant dans l'un de ces outils tiers.
Les navigateurs Web n'ont pas été conçus pour les mashups, et les verrues sont là depuis le premier jour, dit Boloker. Les navigateurs contiennent une fonctionnalité de sécurité appelée politique de même origine qui vise à empêcher le code malveillant hébergé sur un site de récupérer des données, telles que les informations d'identification stockées, sur un autre site. La politique de même origine empêche les sites Web d'un domaine de demander des données appartenant à un autre domaine.
Pourtant, Hélène Wang , chercheur principal au sein du groupe Systèmes et réseaux de Recherche Microsoft , explique que la politique de même origine échoue en forçant les applications Web d'aujourd'hui à sacrifier la sécurité ou les fonctionnalités. Elle dit que de nombreuses fonctionnalités intéressantes, telles que celles des mashups, proviennent de l'utilisation d'outils provenant de plusieurs sources. Le problème est que lorsque le créateur du site Web intègre du code écrit par un tiers sur son site, la politique de même origine n'offre plus aucune protection et le code intégré a probablement accès aux informations stockées sur le site du créateur. Par exemple, si la créatrice d'un forum intègre une application de cartographie sur son site, le code de l'application de cartographie pourrait potentiellement accéder aux données de connexion au forum. Les fabricants de mashups, dit Wang, abandonnent la sécurité en acceptant ces risques et en faisant confiance à des outils tiers, ou ils abandonnent les fonctionnalités en s'interdisant l'utilisation d'outils non fiables.
Chuck Willis, consultant principal en sécurité pour Mandant , une entreprise de sécurité de l'information, déclare que de nombreux développeurs aimeraient voir certains des contrôles, tels que la politique de même origine, assouplies. L'utilisateur moyen a besoin que les choses restent telles qu'elles sont, dit-il, car la plupart des utilisateurs ne comprennent pas les conséquences de l'accès à des outils tiers. Mais les efforts pour assouplir les protections existantes doivent être abordés avec prudence.
Wang de Microsoft s'est efforcé de résoudre le problème en fournissant aux navigateurs un moyen de reconnaître le code provenant d'un tiers et de traiter ce code différemment de celui du site Web hôte. Elle propose d'enfermer le code tiers dans une balise sandbox, qui agirait comme une sorte de verre à sens unique. Cela permettrait au plus grand site Web d'utiliser le code contenu dans le bac à sable, mais de traiter ce code comme un contenu non autorisé, sans aucune autorité en dehors du bac à sable. Toute information requise par le code tiers pourrait être incluse dans le bac à sable. Cependant, pour que cette solution soit efficace, la balise sandbox doit devenir une norme Web acceptée. Wang a construit un prototype d'Internet Explorer qui reconnaît la balise, mais elle note qu'il faudrait du temps pour que la balise soit adoptée dans tous les navigateurs.
Plus tôt ce mois-ci, IBM a publié un outil de sécurité appelé SMash (abréviation de Secure Mashups) qui vise à résoudre le problème sans changer de navigateur. SMash permet d'afficher du contenu provenant de plusieurs sources sur une seule page, et il permet aux outils de communiquer de manière sûre, explique Larry Koved, scientifique en sécurité Web 2.0 pour IBM Research. Un canal de communication sécurisé surveille les informations envoyées entre les outils, tout en conservant leurs identités distinctes et leurs ensembles d'autorisations distincts. Un créateur de mashup utilisant SMash connecte chaque outil à un hub qui se charge ensuite de surveiller les messages envoyés entre les outils, à la recherche d'activités suspectes. Koved dit que chaque outil inclus dans le mashup peut contrôler la façon dont ses données sont transformées et présentées.
SMash, dit Boloker, négocie la possibilité d'interconnecter étroitement les widgets au sein d'un mashup afin de le garder sécurisé et facile à créer. IBM prévoit d'incorporer SMash dans son produit Lotus Mashups, qui sortira cet été, et la société a également fait don du code à l'OpenAjax Alliance, qui permet à tout fabricant de mashups de l'utiliser.
Chris Warner, directeur du marketing chez mashup maker Jack Be , dit des offres existantes, En général, la sécurité des mashups est encore un peu un Far West. En tant que membre de l'OpenAjax Alliance, dit-il, JackBe prévoit de prendre en charge SMash et d'autres normes publiées via l'alliance. Il ajoute que la prochaine étape pour l'industrie du mashup est de s'assurer que nous développons une image universelle de la sécurité.