Autorem odborného článku k hlavnímu tématu je Tomáš Přibyl, externí redaktor.

Fenomén jménem Web 2.0 dnes používá 99 procent organizací.

Jenže 38 procent administrátorů tvrdí, že právě jich se problematika Web 2.0 netýká – statistiky je ovšem usvědčují ze lži, protože 95 procent uživatelů tvrdí, že používají Web 2.0 v práci. Tato čísla uvádí organizace FaceTime.

Tak trochu jiný svět

Tento průzkum názorně dosvědčuje, jakou pozici má Web 2.0 ve světě ICT. Prosadil se sám a velmi rychle – ale vzhledem ke své povaze se nesetkal se zrovna velkým pochopením správců, administrátorů a především specialistů zodpovědných za bezpečnost.

Zkrátka a dobře: Web 2.0 nás v oblasti bezpečnosti vrhá zhruba o deset let zpátky. Problémů je hned několik. Web 2.0 (což je vlastně neuchopitelný shluk nových přístupů) mnohdy tvoří vývojáři a programátoři bez větších zkušeností, kteří si často neuvědomují následky a souvislosti některých úkonů. V podstatě stačí mít jen dobrý nápad, nějak jej přivést na svět – a jste králové. Ve světě Web 2.0 jde o rychlost, nikoliv o kvalitu nebo bezpečnost.

Dalším problémem prostředí Web 2.0 je skutečnost, že obsah je do značné míry tvořen a ovlivňován uživateli. Takže musí být maximálně tvárný a „ohebný“. Právě takovýto přístup je ale noční můrou každého bezpečnostního specialisty a ve světě „Web 1.0“ je trend přesně opačný: maximálně omezit práva a přístupy, protože kdo nic nemůže, nic neudělá.

Přitom třeba uživatelská interakce a vkládání dat do formulářů představuje dveře doširoka otevřené pro útočníky a agresory. Potíž představuje také fakt, že v prostředí Web 2.0 chybí vývojářské pomůcky, zkušenosti, testovací nástroje... Mnozí výrobci bezpečnostních technologií by se rádi svezli na módní vlně a nabídli bezpečnost také pro Web 2.0, jenže zpravidla selhávají.

Aplikace v prostředí Web 2.0 bývají silně proprietární, takže musíme řešit otázku „jak se k nim postavit?“ Dle staršího přístupu bychom nejspíše použili metodu „zakázat, zrušit, nepovolovat“, jenomže tato se z mnoha důvodů aplikovat nedá. Prostě tím zabíjíme Web 2.0, po kterém je společenská i technická poptávka.

Je to třeba podotázka „Jak posuzovat jednotlivé doplňky?“ Z bezpečnostního hlediska přece není možné donekonečna vše analyzovat při sebemenší změně. Protože bychom museli prostředí s každou aktualizací analyzovat znovu. Jenomže jak třeba zjistit, cože všechno vlastně bylo „aktualizováno“? Uvědomme si, že i drobná úprava může ve Webu 2.0 zásadním způsobem změnit chod celého systému.

Co vlastně hrozí?

Pokud bychom chtěli vyjmenovat rizika, pak nesmíme opomenout krádeže autentizačních a identifikačních prvků, automatické spouštění skriptů, ať již v klasickém AJAX prostředí, nebo s využitím jiných jazyků či prostředí.

Nebezpečí představuje také sdílení kódů – to je přece něco, co si soudný správce nemůže dovolit pustit do systému. Kdo a s jakým úmyslem tyto aktualizace vydává? Jak má majitel serveru zajištěnou jeho bezpečnost? Jaké záruky (nejen ohledně bezpečnosti, ale třeba i autorských práv) poskytuje vydavatel těchto doplňků?

Podobná nebezpečí pochopitelně existovala i dříve, ale zdaleka nešlo o masový problém. Šlo o výjimky, které nepředstavovaly pravidlo. A i pro útočníky nešlo o atraktivní stav: proč by je mělo zajímat něco, co je jen úzce rozšířené? Jenomže dnešním trendem je právě roztříštěnost, decentralizace a spontánní šíření. Často používaný pojem „virální“ se v této souvislosti naplňuje na sto procent.

Příkladem budiž třeba červ Yamanner, který se zaměřoval na webové rozhraní Yahoo! Mailu, kdy infikoval uživatele skrze zranitelnost v Java-skriptu. Stačilo pak otevřít infikovanou zprávu a červ se dostal do uživatelova počítače. Tím se otevřela úplně nová Pandořina skříňka, protože užívání webových rozhraní bylo u e-mailů považováno dlouhé roky za bezpečnější alternativu poštovních klientů.

Aplikace jako Google Calendar nebo Google Docs jsou příliš otevřené a třeba špatně nastavená práva mohou způsobit nemalé potíže. Případy, kdy někdo nedopatřením naindexoval interní dokumenty a jejich obsah byl následně volně prohledatelný na internetu, se množí jako houby po dešti. Tyto aplikace jsou zkrátka dělané jako co nejvolnější s tím, že uživatel může v případě potřeby „dotáhnout kohout“. A zpravidla mají soukromou i veřejnou část – jenomže jak je a jak rozlišit. Především, když na něco podobného nejsme z běžného prostředí zvyklí.

Nezapomínejme na bezpečnost

Bezpečnost v prostředí Web 2.0 je zapotřebí nastavit vždy na dvou stranách: na klientské i serverové, neboť obě jsou silně interaktivní. V případě
klasického webu se dal prohlížeč velmi solidně nastavit a „opevnit“ (nebylo to samozřejmě stoprocentní a nějaké mouchy se objevily vždy). Ale dnes?

A to není vše, prostředí je nejasně definované. Takže nemáme čest třeba s jedním dedikovaným serverem na serverové straně, ale o poskládané služby od různých autorů a vydavatelů. Dostáváme se do začarovaného kruhu: musíme povolit restrikce, ač bychom je spíše měli utáhnout.

Závěrečné rozhřešení? Nezapomínejme na to, co jsme se v uplynulých letech v oblasti bezpečnosti naučili. I když to ne vždy využijeme, rezignovat
nesmíme. Zkušenosti se totiž v ICT bezpečnosti cenní ze všeho nejvíc…

Tomáš Přibyl