Vijf grote securityblunders van ontwikkelaars

Als er een grote hack heeft plaatsgevonden, vragen velen zich meteen af wie dat heeft gedaan. Maar hoe het zo ver heeft kunnen komen, is vele malen belangrijker.

Ontwikkelaars verknallen het soms. Dit zijn de vijf meest voorkomende fouten die zij maken:

[related_article id=”161920″]

1. Software van derden blindelings vertrouwen
Software wordt maar zelden vanaf nul geschreven. Heel vaak maakt je software gebruik van allerlei third-party software, zoals bibliotheken die standaardfunctionaliteit implementeren. Daar zitten echter ook fouten in. Weet je exact op welke third-party jouw software gebaseerd is? Vertrouw je de correctheid daarvan blindelings? Of audit je ze regelmatig op beveiligingsgaten?

2. Hardcoderen van wachtwoorden en accounts
Iedereen hardcodeert wel eens een account en bijbehorend wachtwoord in zijn software ‘om te testen’. Maar wat als je vergeet die backdoor er uit te halen voor je software in productie gaat? Eerder dit jaar moest zelfs Cisco toegeven dat veel van zijn routers ongedocumenteerde backdoors bevatten.

3. Je controleert invoer niet
SQL-injecties en remote file inclusion zijn twee van de meest voorkomende en de gevaarlijkste beveiligingslekken die bestaan. Beide worden veroorzaakt door een gebrek aan controles op de invoer. Ontwikkelaars zouden alle invoer van externe bronnen zoals een webgebaseerd formulier of zelfs een database moeten wantrouwen.

4. Je versleutelt je gegevens niet
Het is anno 2014 niet meer toelaatbaar om gevoelige gegevens door te sturen zonder ze te versleutelen. Dat geldt voor gebruikersnamen, wachtwoorden, persoonsgegevens en alle gegevens die onder internationale regelgeving vallen.

5. Je negeert de mens
Een van de grootste fouten die je als ontwikkelaar kunt maken is geen rekening houden met ‘OSI-laag 8’, namelijk de mens. Op social engineering oftewel misleiding heb je als ontwikkelaar geen vat, maar je kunt voor de gebruiker wel allerlei onzekerheden weghalen. Is de gebruikersinterface duidelijk genoeg? Worden gebruikers gewaarschuwd als ze risicovolle acties gaan uitvoeren? Verplicht de software om standaardwaarden onmiddellijk na het eerste gebruik te veranderen?

In samenwerking met Smartbiz.be.