Google har offentliggjort en betaversion af et internt værktøj, der bruges til at teste sikkerheden for web- baserede applikationer.

Ratproxy, udgivet under en Apache 2.0-softwarelicens, søger en række kodingsproblemer i webapplikationer, som f.eks. fejl, der kan tillade et script-angreb på tværs af webstedet eller forårsage cachingproblemer.

"Vi besluttede at gøre dette værktøj frit tilgængeligt som open source, fordi vi mener, at det vil være et værdifuldt bidrag til informationssikkerhedssamfundet, samfundets forståelse af sikkerhedsudfordringer i forbindelse med nutidens webteknologier ", skrev Googles Michal Zalewski på en firmasikkerhedsblog.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Ratproxy - udgivet som version 1.51 beta - er hurtig og mindre påtrængende end andre scannere, fordi den er passiv og ikke genererer et stort volumen af ​​angrebssimulerende trafik, når den kører, skrev Zalewski. Aktive scannere kan medføre problemer med applikations ydeevne.

Værktøjet sniffer indhold og kan udvælge uddrag af JavaScript fra stilark. Det understøtter også SSL (Secure Socket Layer) -scanning blandt andre funktioner.

Ratproxy fremhæver områder, der bekymrer sig om, at "ikke nødvendigvis er tegn på faktiske sikkerhedsfejl. Oplysningerne, der indsamles under en test session fortolkes derefter af en sikkerhedsprofessionel med en god forståelse af de fælles problemer og sikkerhedsmodeller, der anvendes i webapplikationer, "skrev Zalewski.

Google har indsendt et overblik over Ratproxy samt et downloadlink til kildekoden. Kode licenseret under Apache 2.0-licensen kan indarbejdes i afledte værker, herunder kommercielle dem, men kodenes oprindelse skal anerkendes.

Svag webapplikationssikkerhed fortsætter med at skræmme virksomheder, der potentielt kan medføre tab af kunde- eller økonomiske data.

En undersøgelse fra Web Application Security Consortium i 2006 viste, at 85,57 procent af 31.337 sites var sårbare over for script-angreb på tværs af websteder. 26,38 procent var sårbare over for SQL-injektion, og 15,70 procent havde andre fejl, der kunne medføre tab af data. > Som følge heraf er sikkerhedsleverandører flyttet for at opfylde behovet for bedre sikkerhedsværktøjer, hvor store teknologiselskaber erhverver mindre specialiserede virksomheder på området.

IBM købte i juni 2007 Watchfire, et firma, der fokuserede på webapplikationssårbarhed scanning, databeskyttelse og overensstemmelsesrevision. To uger senere sagde Hewlett-Packard, at det ville købe SPI Dynamics, en rival for Watchfire, hvis software også søger sårbarheder i webapplikationer samt gennemførelse af overensstemmelsesrevisioner.