Guymon

Website Security Basics

Christian Heilmann hat im Smashing Magazine eine informative Einführung in Website Security veröffentlicht.

Disclaimer: the things we’ll talk about in this article today won’t make you a security expert, just as buying a Swiss Army knife won’t make you a locksmith or buying a whip won’t make you a lion tamer. The purpose here is to raise awareness and perhaps make some of that security mumbo-jumbo a bit more understandable to you.

CSRF bei ING

Heise berichtet über eine erfolgreiche Cross Site Request Forgery bei der Direktbank ING:

Vermutlich handelt es sich hierbei um den ersten bekannt gewordenen Fall, bei dem solch ein Betrug mittels CSRF bei einer Bank möglich gewesen wäre. Die Lücke ist mittlerweile geschlossen. Grundlagen zum Thema Cross Site Request Forgery sind auch im Artikel “Dunkle Flecken - Neuartige Angriffe überrumpeln Webanwender” auf heise Security beschrieben.

Gut dass es mittlerweile so viele Browser gibt, dass man einen nur und ausschließlich für das Online Banking abstellen kann.

Writing secure PHP applications

Keine weltbewegenden Neuigkeiten, aber da ein Update in Punkto Sicherheit nie falsch ist: Seven habits for writing secure PHP applications.

• Validate input
• Guard your file system
• Guard your database
• Guard your session data
• Guard against Cross-Site Scripting (XSS) vulnerabilities
• Verify form posts
• Protect against Cross-Site Request Forgeries (CSRF)