Je pravda, že Web 2.0 je termín marketingový, nikoliv technický či technologický. Je ale stejně tak pravda, že se jím musíme z hlediska ICT bezpečnosti aktivně zabývat.

Fenomén pro každého

Web 2.0 je obecně termín používaný pro novou generaci webových aplikací a služeb, jako jsou Google Maps, Facebook, Twitter a další a další. Proč se ale vlastně Web 2.0 věnujeme na stránkách časopisu, který není orientovaný na „náctileté“, ale který berou do rukou prakticky výhradě informační specialisté z podnikového sektoru? Prostě proto, že moderní internetové nástroje nejsou jen kratochvílí pubescentní mládeže, ale reálnou součástí internetového prostoru. Protože s nimi pracují – a musí pracovat – zaměstnanci ve firemním sektoru. Neboť Web 2.0 se stává vynikajícím zdrojem informací a inspirace. A protože většina organizací s Web 2.0 ve svých obchodních a marketingových plánech počítá. Nejsou tedy jen pasivními konzumenty obsahu, ale také jeho aktivními tvůrci. A to už je dost dobrých důvodů, proč se této problematice musíme věnovat.

Příliš otevřený systém

Web 2.0 je prostě nový přístup k vytváření obsahu a sdílení informací. V čem je ovšem tak odlišný od klasických technologií, že se jím musíme speciálně zabývat?
Tento nový přístup nás totiž v oblasti bezpečnosti vrhá zhruba o deset let zpátky. Problémů je hned několik. Web 2.0 (což je vlastně neuchopitelný shluk nových přístupů) mnohdy tvoří vývojáři a programátoři bez větších zkušeností, kteří si často neuvědomují následky a souvislosti některých úkonů. V podstatě stačí mít jen dobrý nápad, nějak jej přivést na svět – a jste králové. Ve světě Web 2.0 jde o rychlost, nikoliv o kvalitu nebo bezpečnost.
Ostatně stačí se podívat do kuchyně softwarového giganta Microsoft. Ten se v roce 2002 rozhodl pro iniciativu Trustworthy Computing, kdy se právě bezpečnost stala prioritou a kdy se namísto kvantity začala upřednostňovat kvalita. Jenomže... Než se dostavily skutečné a prokazatelné výsledky, trvalo to mnoho let. Bezpečnost se nedá vybudovat přes noc a i dnes můžeme třeba v prohlížeči Windows Internet Explorer narazit na stejné chyby, jaké sužovaly jeho předchůdce před deseti či patnácti lety. Je jich o poznání méně, ale jsou.
Dalším problémem prostředí Web 2.0 je skutečnost, že obsah je do značné míry tvořen a ovlivňován uživateli. Takže musí být maximálně tvárný a „ohebný“. Právě takovýto přístup je ale noční můrou každého bezpečnostního specialisty a ve světě „Web 1.0“ je trend přesně opačný: maximálně omezit práva a přístupy, protože kdo nic nemůže, nic neudělá.
Přitom třeba uživatelská interakce a vkládání dat do formulářů představuje dveře doširoka otevřené pro útočníky a agresory. O tom svědčí i fakt, že třeba vůči XSS (cross-site scripting) útokům je náchylných sedm z deseti webů v „klasickém“ prostředí. Jak to asi musí vypadat (a vypadá) ve Webu-dva-nula?
Potíž představuje také fakt, že v prostředí Web 2.0 chybí vývojářské pomůcky, zkušenosti, testovací nástroje... Mnozí výrobci bezpečnostních technologií by se rádi svezli na módní vlně a nabídli bezpečnost také pro Web 2.0, jenže právě díky technické nemožnosti tento fenomén uchopit selhávají.

Standardizovat, či nikoliv?

Aplikace v prostředí Web 2.0 bývají silně proprietární, takže musíme řešit otázku, jak se k nim postavit. Dle staršího přístupu bychom nejspíše použili metodu „zakázat, zrušit, nepovolovat“, jenomže tato se z mnoha důvodů aplikovat nedá. Prostě tím zabíjíme Web 2.0, po kterém je společenská i technická poptávka.
Je to třeba podotázka, jak posuzovat jednotlivé doplňky. Z bezpečnostního hlediska přece není možné donekonečna vše analyzovat při sebemenší změně. Protože bychom museli prostředí s každou aktualizací analyzovat znovu. Jenomže jak třeba zjistit, cože všechno vlastně bylo „aktualizováno“? Uvědomme si, že i drobná úprava může ve Webu 2.0 zásadním způsobem změnit chod celého systému.
Byly sice zaznamenány snahy o standardizaci (např. API od Google pro společenské sítě), ale svým způsobem může jít i o usnadnění práce pro útočníky. Protože třeba izolovanost je ochranným prvkem, ale pokud se v nějaké části systému zruší, stává se zcela logicky atraktivním cílem. To znamená, že dnes má třeba takový Facebook padesát milionů cílů. Soustředěných na jednom místě...

Co vlastně hrozí?

Pokud bychom chtěli vyjmenovat rizika, pak nesmíme opomenout krádeže autentikačních a identifikačních prvků, automatické spouštění skriptů, ať již v klasickém prostředí AJAX, nebo s využitím jiných jazyků či prostředí.
Nebezpečí představuje také sdílení kódů – to je přece něco, co si soudný správce nemůže dovolit pustit do systému. Ostatně pro příklady nemusíme chodit daleko. Třeba populární prohlížeč Firefox se sice aktualizuje ze serverů výrobce, ale jeho jednotlivé doplňky jsou aktualizované ze serverů vlastních vydavatelů. Kdo a s jakým úmyslem tyto aktualizace vydává? Jak má majitel serveru zajištěnou jeho bezpečnost? Jaké záruky (nejen ohledně bezpečnosti, ale třeba i autorských práv) poskytuje vydavatel těchto doplňků? Podobné situace přitom ve světě Web 2.0 musíme řešit dnes a denně.
Podobná nebezpečí pochopitelně existovala dosud, ale zdaleka nešlo o masový problém. Šlo o výjimky, které nepředstavovaly pravidlo. A ani pro útočníky nešlo o atraktivní stav: proč by je mělo zajímat něco, co je velmi omezené? Jenomže dnešním trendem je právě roztříštěnost, decentralizace a spontánní šíření. Často používaný pojem „virální“ se v této souvislosti naplňuje na sto procent.
Příkladem budiž třeba červ Yamanner, který se zaměřoval na webové rozhraní Yahoo! Mailu, kdy infikoval uživatele skrze zranitelnost v Java skriptu. Stačilo pak otevřít infikovanou zprávu a červ se dostal do uživatelova počítače. Tím se otevřela úplně nová Pandořina skříňka, protože užívání webových rozhraní bylo u e-mailů považováno dlouhé roky za bezpečnější alternativu poštovních klientů.
Aplikace jako Google Calendar nebo Google Docs jsou příliš otevřené a třeba špatně nastavená práva mohou způsobit nemalé potíže. Případy, kdy někdo nedopatřením naindexoval interní dokumenty a jejich obsah byl následně volně prohledatelný na internetu, se množí jako houby po dešti. Tyto aplikace jsou zkrátka dělané jako co nejvolnější s tím, že uživatel může v případě potřeby „dotáhnout kohout“. A zpravidla mají soukromou i veřejnou část – jenomže jak je rozlišit. Především když na něco podobného nejsme z běžného prostředí zvyklí.

Nezapomínejme na bezpečnost

Bezpečnost v prostředí Web 2.0 je zapotřebí nastavit vždy na dvou stranách: na klientské i serverové, neboť obě jsou silně interaktivní. V případě klasického webu se dal prohlížeč velmi solidně nastavit a „opevnit“ (nebylo to samozřejmě stoprocentní a nějaké mouchy se objevily vždy). Ale dnes?
A to není vše, prostředí je nejasně definované. Takže nemáme čest třeba s jedním dedikovaným serverem na serverové straně, ale o poskládané služby od různých autorů a vydavatelů. Dostáváme se do začarovaného kruhu: musíme povolit restrikce, ač bychom je spíše měli utáhnout.
Naštěstí se – pomalu, ale jistě – objevují celé sady bezpečnostních principů. Zatím jen pasivně reagujeme na skutečné útoky a agresoři tak stále mají několik koňských délek náskok. Pozitivní ale přinejmenším je, že není nutné propadat skepsi a že se dá bojovat s každým nepřítelem.
Závěrečné rozhřešení? Nezapomínejme na to, co jsme se v uplynulých letech v oblasti bezpečnosti naučili. I když to ne vždy využijeme, rezignovat nesmíme. A uvidíte, že tato pravidla a zjištění brzy najdeme i ve světě Web 2.0