La tecnologia Web 2.0 permette di fare su Internet cose che non sono mai state possibili prima, ma ogni volta che un sito offre un alto grado di interattività il rischio è sempre dietro l'angolo. In effetti, sono documentati diversi casi di utenti che utilizzano siti Web 2.0 in apparenza legittimi come strumento per la diffusione di malware e virus.
Il motivo per cui il Web 2.0 presenta un rischio per la sicurezza risiede nel livello di interattività del sito. Siti come YouTube e MySpace consentono agli utenti di caricare file e "postare" altri tipi di contenuti. Tra questi ci sono anche file con intenti maligni che effettuano attacchi cross-site scripting (XSS).
Questo tipo di attacco comporta il caricamento di file maligni su un sito Web 2.0 oppure l'integrazione di script Java o Ajax all'interno di campi per l'input di testo. Quando i visitatori del sito raggiungono una pagina contenente uno script maligno o scaricano un file maligno, il loro computer si infetta.
Questa è sicuramente una grande minaccia per la sicurezza, ma anche ormai ben nota. Cerchiamo invece di andare oltre ciò che per certi versi è assodato.
Per cominciare, la maggior parte dei software di sicurezza tratta siti Web 2.0 ben noti come completamente sicuri. Naturalmente di per sé il sito è sicuro, ma il contenuto che è stato pubblicato dai visitatori può non esserlo. Ciò significa che gli utenti possono essere esposti a virus e malware mentre navigano in siti classificati come sicuri.
Un altro problema inerente l'uso “illecito” di siti ritenuti legittimi è legato alle ramificazioni legali: oggi il proprietario di un sito Web potrebbe essere potenzialmente ritenuto responsabile per l'uso maligno di tale sito, anche se non vi è nulla di "illecito" al suo interno. Questa speculazione si basa sul concetto che il proprietario di un sito potrebbe essere accusato di negligenza nelle sue pratiche inerenti la sicurezza, consentendo in tal modo il verificarsi di exploit.
Naturalmente le questioni legali affrontano entrambe le situazioni. Ci sono molte società di sicurezza che basano le proprie blacklist e whitelist sul fatto che i siti Web siano o meno sicuri. Tali società compirebbero un'azione autolesionista se mai gli venisse in mente di inserire nella loro blacklist un sito come MySpace o semplicemente lo classificassero come pericoloso, però dovrebbero affrontare addirittura un'azione legale da parte degli utenti se si scoprisse che tale sito dovesse integrare contenuti “maligni”.
In definitiva, per gli sviluppatori Web l'unico modo per fronteggiare efficacemente gli attacchi cross-site scripting è quello di mettere la sicurezza tra le priorità di ogni progetto. In pratica, le applicazioni Web devono essere codificate in modo che tutti gli input degli utenti vengano trattati come “maligni” fino a prova contraria.
Ciò significa che gli sviluppatori Web devono partire dal presupposto che tutti gli input siano dannosi e poi analizzarli al fine di separare in modo affidabile gli input buoni da quelli realmente nocivi.
Il problema è che non tutti gli sviluppatori Web possono essere considerati affidabili nel proteggere gli utenti dall'uso "maligno" di un sito che si suppone sia invece legittimo. Siccome non si può mai dire con certezza se un sito è soggetto a un exploit con scopi dolosi, anche Microsoft ha adottato delle misure contro le vulnerabilità cross-site scripting. In questo senso, Internet Explorer 8 è la prima versione del browser che integra built-in un filtro cross-site scripting.
Ora che il browser è finalmente stato rilasciato, potremo vedere come funziona realmente tale filtro e se fornisce una protezione adeguata, senza bloccare le applicazioni Web 2.0 o annoiare gli utenti con frequenti schermate di avviso.
Ogni volta che emerge una nuova tecnologia, nascono alcuni problemi imprevisti. E lo stesso sta succedendo con il Web 2.0.
*MCSE, Microsoft Most Valuable Professional in ambito Windows 2000 Server and IIS
