Google नि: शुल्क वेब एप्लिकेशन सुरक्षा स्कैनर को दूर देता है

Google ने अपने किसी आंतरिक उपकरण के लिए वेब-आधारित एप्लिकेशन की सुरक्षा का परीक्षण करने के लिए उपयोग किया है।

रैटप्रॉक्स, जो एक अपाचे 2.0 सॉफ़्टवेयर लाइसेंस के तहत जारी किया गया है, वेब अनुप्रयोगों में कई प्रकार की कोडिंग समस्याएं दिखता है, जैसे कि क्रॉस-साइट स्क्रिप्टिंग हमले या कैशिंग समस्याओं की वजह से त्रुटियों की अनुमति हो सकती है।

"हमने इस उपकरण को खुले स्रोत के रूप में स्वतंत्र रूप से उपलब्ध कराने का निर्णय लिया क्योंकि हमें लगता है कि सूचना सुरक्षा समुदाय में यह महत्वपूर्ण योगदान होगा, अग्रिम मदद समकालीन वेब प्रौद्योगिकियों से जुड़ी सुरक्षा चुनौतियों की सामुदायिक समझ, "एक कंपनी सुरक्षा ब्लॉग पर Google की मीकल ज़लवेस्की ने लिखा।

[और पठन: अपने विंडोज पीसी से मैलवेयर कैसे निकालें]

रैटप्रॉक्स - संस्करण 1.51 बीटा के रूप में जारी किया गया - अन्य स्कैनरों की तुलना में तेज़ और कम घुसपैठ है, इसमें निष्क्रिय है और चलने के दौरान ट्रैफिक के दौरान हमले की एक उच्च मात्रा उत्पन्न नहीं करता, ज़लावेस्की ने लिखा है। सक्रिय स्कैनर, अनुप्रयोग प्रदर्शन के साथ समस्या पैदा कर सकता है।

टूल सामग्री को सूँघता है और स्टाइल शीट्स से जावास्क्रिप्ट के स्निपेट को चुन सकता है। यह अन्य विशेषताओं के बीच एसएसएल (सिक्योर सॉकेट लेयर) स्कैनिंग का भी समर्थन करता है।

क्योंकि यह एक निष्क्रिय मोड में चलता है, चूंकि राटापुसी ने चिंता के ऐसे क्षेत्रों को हाइलाइट किया है, "यह जरूरी नहीं कि वास्तविक सुरक्षा खामियों का संकेत मिलता है। तो फिर एक सुरक्षा पेशेवर द्वारा वेब अनुप्रयोगों में नियोजित आम समस्याओं और सुरक्षा मॉडल की अच्छी समझ के साथ व्याख्या की जाएगी। " Google ने रैटप्रॉक्स की एक संक्षिप्त समीक्षा के साथ-साथ स्रोत कोड पर एक डाउनलोड लिंक पोस्ट किया है। अपाचे 2.0 लाइसेंस के तहत लाइसेंसीकृत संहिता, वाणिज्यिक लोगों सहित व्युत्पन्न कार्यों में शामिल की जा सकती है, लेकिन कोड की उत्पत्ति को स्वीकार किया जाना चाहिए।

कमजोर वेब अनुप्रयोग सुरक्षा कंपनियों को शर्मिंदा करना जारी रखती है, संभावित रूप से ग्राहक या वित्तीय डेटा के नुकसान के कारण।

वेब एप्लीकेशन सिक्योरिटी कंसोर्टियम द्वारा 2006 के सर्वेक्षण में पाया गया कि 31,373 साइटों की 85.57 प्रतिशत क्रॉस-साइट स्क्रिप्टिंग हमलों के लिए कमजोर थी, 26.38 प्रतिशत एसक्यूएल इंजेक्शन के लिए कमजोर थे और 15.70 प्रतिशत अन्य दोष थे जो डेटा के नुकसान की ओर ले सकते थे।

परिणामस्वरूप, सुरक्षा विक्रेताओं ने बेहतर सुरक्षा उपकरणों की जरूरत को भरने के लिए आगे बढ़ दिया है, बड़ी तकनीक कंपनियों को क्षेत्र में छोटे, विशेषीकृत कंपनियों को प्राप्त करने के साथ।

जून 2007 में, आईबीएम वॉचफिर, एक कंपनी जो वेब अनुप्रयोग भेद्यता पर केंद्रित थी स्कैनिंग, डेटा संरक्षण और अनुपालन ऑडिटिंग दो हफ्ते बाद, हेवलेट पैकार्ड ने कहा कि वह वॉचफोअर का प्रतिद्वंद्वी एसपीआई डायनेमिक्स खरीद लेगा जिसका सॉफ्टवेयर भी वेब अनुप्रयोगों में कमजोरियों के साथ-साथ अनुपालन ऑडिट का प्रदर्शन भी करता है।