11/10/2006, 13:58 שמוליק שלח
חברת האבטחה בדוח הרבעוני: טכנולוגיית ה-Ajax של אתרי ה-Web 2.0 מהווה בסיס לשיבוץ קוד זדוני באתרים, דוגמת Geocities, ע"י האקרים
"ניתן לכלול קוד זדוני בדפי אינטרנט, תוך שימוש בקוד זדוני הנמצא על שרתי האחסון ו-caching של צד שלישי, ובדרך זו להחדיר למחשב אישי של כל גולש אינטרנט spyware, סוסים טרויאניים ותוכנות זדוניות נוספות אשר מסכנות את פרטיותו וזהותו של המשתמש", כך קובע יובל בן-יצחק, סמנכ"ל הטכנולוגיות (CTO) של חברת האבטחה פינג'אן. את הדברים מוסר בן-יצחק במסגרת דוח מגמות אבטחת מידע באינטרנט שהוציאה החברה לרבעון השלישי.
בפינג'אן נזהרים אומנם מלקרוא לדברים בשמם, אבל על ההגדרות של החברה עונים אתרים כגון מנועי החיפוש הגדולים, ספקיות שירות גישה לאינטרנט, אתרי בלוגים ואתרים מכובדים אחרים המאפשרים כתיבת תכנים ע"י הגולשים.
"כתוצאה מחולשה זו, ייתכן ושרתי אחסון ו-caching יהפכו שלא במתכוון למקום האחסון "הלגיטימי" הגדול ביותר של קוד זדוני", מוסיף בן-יצחק. לדבריו, מוצרי סינון תכנים מסוג URL Filtering, שאמורים לאפשר לגולש להכניס קוד מורשה בלבד, לא יזהו מקורות אלו כזדוניים.
הדו"ח של פינג'אן מתייחס גם לאיום אחר, הפעם מזירת ה-Web 2.0. טכנולוגיית ה-Ajax, השפה ה"רשמית" של ה-Web 2.0 פותחת גם היא פרצות אבטחה. "האקרים מצאו דרך קלה להשיג הפצה רחבה של קודים זדוניים באמצעות אתרי אינטרנט פופולאריים" אומר בן-יצחק, "הם מסוגלים ליצור מתקפות "בלתי נראות" על ידי שיבוץ קוד זדוני בתוכן אינטרנט וקריאתו ע"י שימוש בטכנולוגית AJAX". הדו"ח מציין כדוגמא לסיכון שכזה דף אינטרנט שנשמר בענקית אחסון האתרים - Geocities.
יצויין כי דו"ח מגמות אבטחת מידע שהוציאה החברה ברבעון השני של השנה, הציג לראשונה מגמה של התמסחרות הקוד הזדוני.