Google contro le vulnerabilità sul web
L’obiettivo dichiarato da Google, è quello di spingere i suoi dipendenti ad avere una solida conoscenza riguardante le minacce che i servizi Google possono subire, in modo tale da riuscire a proteggere il sistema in modo efficace, dai numerosi rischi che circolano in rete nei nostri giorni.
I dipendenti di Google cercano di raggiungere questi obiettivi in una varietà di modi, tra cui la formazione alla sicurezza per gli ingegneri nuovi, presentazioni tecniche sulla sicurezza, e altri tipi di documentazione, ma soprattutto grazie all’utilizzo dei cosiddetti Codelabs.
Codelabs
Un Codelab rappresenta un tutorial di programmazione interattiva che ha lo scopo di formare i partecipanti attraverso attività di programmazione specifici. Il Codelab in questione ha il ruolo di fornire le nozioni agli sviluppatori sui più comuni tipi di vulnerabilità delle applicazioni web. Nello spirito di pensiero che “ci vuole un hacker per prendere un hacker”. il Codelab dimostra anche come un utente malintenzionato possa sfruttare a proprio vantaggio le vulnerabilità del sistema.
Google è in procinto di rilasciare questa versione Codelab, dal titolo “Applicazioni Web attacchi e difese oggi”, in coordinamento con Google Code University e Google Labs per aiutare gli sviluppatori di software a riconoscere meglio, correggere ed evitare difetti congeniti nelle loro applicazioni. Il Codelab è costruito seguendo la filosofia dell’applicazione Jarlsberg (nome che deriva da un famoso formaggio coi buchi) fatta volontariamente con dei buchi all’interno del proprio sistema.
Per la precisione sono presenti cross-site scripting (XSS), cross-site request forgery (XSRF), cross-site script inclusion (XSSI), client-state manipulation e vulnerabilità riguardanti AJAX ed una cattiva configurazione. Attraverso questi bug è possibile effettuare attacchi DOS o persino far eseguire del codice.
Sbagliando si impara
Grazie a questo sistema si dimostra anche come un semplice bug possa causare la divulgazione di informazioni e di esecuzione di codice remoto.
Google in questo modo cerca di fornire una maggiore educazione ed un costante appoggio ai propri ingegneri per riuscire a combattere ad armi pari contro gli attacchi alla sicurezza informatica e difendere di conseguenza i numerosi utenti presenti in rete.
Articoli correlati:
