211service.com
Mashup apsauga
„Mashup“ – internetinės programos, jungiančios duomenis ir įrankius iš skirtingų svetainių, tampa vis naudingesnės. Nors jos prasidėjo kaip paprastos vartotojų programos, pvz įrankis kad patalpinti būsto sąrašus iš Craigslist ant Google žemėlapiai , mišiniai tapo sudėtingesni ir populiarėja ir tarp korporacijų. Kadangi išleidžiama vis daugiau įrankių, padedančių žmonėms lengvai sukurti mišinius, ekspertai taip pat ieško būdų, kaip išvengti saugumo rizikos.
Nesaugus mišinys: Dabartiniai mišinių kūrimo metodai, kurie sujungia duomenis ir įrankius iš kelių žiniatinklio šaltinių, gali sukelti saugumo problemų. Ekspertai ieško būdų, kaip išsaugoti plačią kūrybinę laisvę, kurią siūlo mišiniai, ir tuo pat metu juos saugiau naudoti. Tai ypač aktualu verslo vartotojams, norintiems kurti mišinius.
Daugelis „mashups“ dalijasi tik tekstu, sako Davidas Bolokeris, vienas įkūrėjų OpenAjax aljansas ir IBM Naujų interneto technologijų CTO. Blogiausiu atveju jie rizikuoja, įskaitant neteisingus arba autorių teisių saugomus duomenis. Tačiau, kai mišiniai tampa sudėtingesni, jie pradėjo įtraukti kompiuterinį kodą iš kelių šaltinių. Šiuo metu mes pereiname prie nepatikimo kodo, sako Bolokeris. Pavyzdžiui, nekilnojamojo turto įmonė gali norėti, kad būtų sukurta mišrainė, kuri dirbtų su sąrašais iš vidinės duomenų bazės. Sumaišymas gali paleisti sąrašus naudojant trečiųjų šalių įrankius, kad būtų galima palyginti su konkurentų kainomis tais pačiais pašto kodais, o tada naudoti papildomą trečiosios šalies įrankį, kad būtų galima susieti visus rinkoje esančius namus. Be saugumo priemonių, dėl šios sudėties įmonės vidinė duomenų bazė gali būti pažeidžiama kenkėjiško kodo bet kuriame iš šių trečiųjų šalių įrankių.
Žiniatinklio naršyklės nebuvo sukurtos atsižvelgiant į mišinius, o karpos ten buvo nuo pat pirmos dienos, sako Bolokeris. Naršyklėse yra saugos funkcija, vadinama tos pačios kilmės politika, kuri skirta neleisti vienoje svetainėje priglobtam kenkėjiškam kodui gauti duomenų, pvz., saugomų kredencialų, iš kitos svetainės. Tos pačios kilmės politika neleidžia vieno domeno svetainėms prašyti duomenų, priklausančių kitam domenui.
Tačiau Helen Wang , sistemų ir tinklų grupės vyresnysis mokslo darbuotojas „Microsoft“ tyrimai , paaiškina, kad tos pačios kilmės politika žlunga, nes šiandien žiniatinklio programos yra verčiamos paaukoti saugumą arba funkcionalumą. Ji sako, kad daug puikių funkcijų, pvz., „Mashup“, atsiranda naudojant įrankius iš kelių šaltinių. Problema ta, kad kai svetainės kūrėjas į savo svetainę įterpia trečiosios šalies parašytą kodą, tos pačios kilmės politika nebeteikia jokios apsaugos, o įterptasis kodas greičiausiai turi prieigą prie kūrėjo svetainėje saugomos informacijos. Pavyzdžiui, jei forumo kūrėja į savo svetainę įterpia žemėlapių sudarymo programą, atvaizdavimo programos kodas gali pasiekti forumo prisijungimo duomenis. Wang teigia, kad „Mashup“ gamintojai arba atsisako saugumo, prisiimdami tą riziką ir pasitikėdami trečiųjų šalių įrankiais, arba atsisako funkcionalumo, neleisdami sau naudoti nepatikimų įrankių.
Chuckas Willisas, pagrindinis saugumo konsultantas Mandiant , informacijos saugos įmonė, teigia, kad daugelis kūrėjų norėtų, kad kai kurios kontrolės priemonės, pvz., tos pačios kilmės politika, būtų sušvelnintos. Paprastam vartotojui reikia, kad viskas išliktų taip, kaip yra, sako jis, nes dauguma vartotojų nesupranta prieigos prie trečiųjų šalių įrankių pasekmių. Tačiau pastangas sušvelninti esamas apsaugos priemones reikia žiūrėti atsargiai.
„Microsoft“ Wang stengėsi išspręsti šią problemą, suteikdama galimybę naršyklėms atpažinti iš trečiosios šalies gautą kodą ir traktuoti tą kodą kitaip nei prieglobos svetainės. Ji siūlo įtraukti trečiosios šalies kodą į smėlio dėžės žymą, kuri veiktų kaip tam tikras vienpusis stiklas. Tai leistų didesnei svetainei naudoti kodą, esantį smėlio dėžėje, bet traktuoti tą kodą kaip neteisėtą turinį, neturintį jokios teisės už smėlio dėžės ribų. Bet kokia informacija, kurios reikia trečiosios šalies kodui, gali būti įtraukta į smėlio dėžę. Tačiau norint, kad šis sprendimas būtų veiksmingas, smėlio dėžės žyma turi tapti priimtu interneto standartu. Wang sukūrė „Internet Explorer“ prototipą, kuris atpažįsta žymą, tačiau ji pažymi, kad prireiks laiko, kol žyma bus priimta visose naršyklėse.
Anksčiau šį mėnesį IBM išleido saugos įrankį, pavadintą SMash (trumpinys iš saugaus maišymo), kuriuo siekiama išspręsti problemą nekeičiant naršyklės. „SMash“ leidžia viename puslapyje rodyti turinį iš kelių šaltinių ir įrankius saugiai bendrauti, aiškina Larry Koved, IBM tyrimų Web 2.0 saugumo mokslininkas. Saugus ryšio kanalas stebi informaciją, siunčiamą tarp įrankių, kartu išsaugant atskiras jų tapatybes ir atskirus leidimų rinkinius. „Mashup“ kūrėjas, naudodamas „SMash“, kiekvieną įrankį sujungia su centru, kuris tada imasi kontroliuoti pranešimų, siunčiamų tarp įrankių, ieškodamas įtartinos veiklos. Koved sako, kad kiekvienas įrankis, įtrauktas į „mashup“, gali valdyti, kaip jo duomenys transformuojami ir pateikiami.
„SMash“, sako Bolokeris, iškeičia galimybę glaudžiai sujungti valdiklius, kad jie būtų saugūs ir lengvai pagaminami. IBM planuoja įtraukti SMash į savo „Lotus Mashups“ produktą, kuris bus išleistas šią vasarą, o bendrovė taip pat padovanojo kodą „OpenAjax Alliance“, kuris leidžia jį naudoti bet kuriam mashup gamintojui.
Chrisas Warneris, mashup maker rinkodaros direktorius JackBe , apie esamus pasiūlymus sakoma, kad „Mashup“ saugumas vis dar yra laukiniai vakarai. Jis sako, kad būdamas OpenAjax aljanso narys, JackBe planuoja palaikyti SMash ir kitus aljanso išleistus standartus. Jis priduria, kad kitas „mashup“ pramonės žingsnis yra užtikrinti, kad sukurtume visuotinį saugumo vaizdą.