Öppen diskussion om en säker webb

Om vi fick göra vad vi ville - hur skulle vi säkra webben? Det var utgångspunkten för passet efter lunch. En öppen diskussion med alltmer högljudda forskare. God stämning. Starka åsikter.

Here we go ...

Varför funkar inte SSL?
Trevor Jim, AT&T Research, inledde med att ondgöra sig över SSL. Varför är det fortfarande ett problem?

OK, vi ska inte begära att alla sajter på nätet kör SSL. Då kommer sidor och innehåll inte kunna cache:as längre så vi skulle få prestandaproblem.

Men förutom det så kunde vi konstatera att det finns några aktuella problem med SSL:

• Dyrt. Varför ska certifikat som godkänns av webbläsarna kosta så mycket? Det gör ju bara att vi får sämre säkerhet. Slutsatsen var att stora CA-företag bara är intresserade av pengar, inte av säkerhet.
• Kryptering != autentisering. Varför har vi hakat upp oss på att SSL ska ge kryptering av data och autentisering av servern? Om vi vill skydda informationen på linan så kan vi väl bara köra på ett sessionsnyckelpar? Visst, vi riskerar att få man-in-the-middle men helt okrypterat är bra mycket sämre. Viktiga sajter kan (fortsätta) köra med "riktiga" cert.
• För krångligt? Utvecklare misslyckas konstant med att använda SSL korrekt. De kör SSL på inloggningssidan men går sen över till HTTP och skickar sessionsid:t i klartext. På nåt sätt har vi inte lyckats informera om hur SSL ska användas.

JavaScript roten till allt ont?
OK, vi var så klart överens om att vi alla vill ha JavaScript. Vi vill ha rika webbapplikationer och klientkod. Samtidigt måste vi erkänna att en majoritet av dagens webbattacker beror på JavaScript och dess obegränsade access till DOM:en.

Följande förslag framkom:

• Begränsa access till DOM:en. Kanske borde skript-taggen ha ett antal obligatoriska attribut som säger vad skriptet vill ha access till. Sen kan webbläsaren ev ihop med användaren avgöra om det är OK.
• Separera läs- och skrivrättigheter. Många inmixade skript behöver läsa saker på sidan men inte skriva. Skilj på de rättigheterna.
• Separera data och kod. Markera vilken information som är kod och vilken som är data i HTML-sidan. På det viset kan man inte injicera skript i datafält.
• Modularisera skripten. Låt de olika skripten på sidan bli separata moduler och tillåt dem bara kommunicera på ett strukturerat sätt med meddelanden. Typ som processkommunikation i ett operativsystem.

Sessionshantering
Jag tog upp frågan om varför kakor används för sessionshantering? Det är nån sorts mix av tillstånd och session som har patchats med secure- och HTTPOnly-attribut. Vi borde istället separera ut sessionshanteringen och sköta den med etablerad kryptografi.

Vi vill inte ha obligatorisk identifiering på nätet, t ex med unika, persistenta certifikat i varje webbläsare. Det skulle få hemska integritetsföljder. Istället handlar sessionshantering om recognition, dvs möjligheten att känna igen klienten på ett robust och säkert sätt. Här återkom idén om sessionsnyckelpar eller sessionscertifikat.