Böses AJAX?

Im gestrigen Vortrag von Susanne Boll im Rahmen des Geoinformatik-Forums bin ich auf einen Sicherheitsaspekt von AJAX-Applikationen aufmerksam geworden, der mir bisher nicht aufgefallen ist.

Ist bei “klassischen” Web-Anwendungen, die Benutzereingaben erfordern, immer das aktive Absenden des Formulars durch den Benutzer erforderlich, geschieht dies bei AJAX-Anwendungen meist im Hintergrund – was ja eigentlich der Trick an der Sache ist. Problematisch wird es aber unter dem Gesichtspunkt, dass es nun möglich ist, jede Benutzereingabe per JavaScript an den Server zu schicken und dort zu speichern, auch wenn der Benutzer diese vor dem abschließenden Senden eines Formulars noch mal geändert oder komplett gelöscht hat.

Dementsprechend muss man sich in Web 2.0 Zeiten nun wirklich vor dem Eintippen überlegen, was man von sich preisgeben will. Denn eine nachträglich Änderung kann zwar für das finale Absenden relevant sein, aber die im Bearbeitungsvorgang geänderten oder gelöschten Daten sind möglicherweise trotzdem abgesendet worden – und zwar ohne, dass der Benutzer davon etwas mitbekommen hat.

2 Kommentare

  1. stev

    Denke das Problem müßte man an realen Beispielen mal näher diskutieren. Schade das man in die Unterlagen des Geoinformatik-Forums keinen Einblick hat. Vielleicht kannst Du mir da ja mal was per E-Mail zu kommen lassen.
    Bei Web-Applikation mit kritischen Daten sollte man die breite Öffentlichkeit vielleicht darauf hinweisen, dass jede Dateneingabe bei Verwendung von AJAX gespeichert werden kann. Also eigentlich immer wenn im Browser JavaScript aktiviert ist.
    Diesen Aufwand wird in der Regel kein Programmierer betreiben, da ja nicht nur clientseitig sondern auch serverseitig das passende Gegenstück geschrieben werden muss. Und für gewöhnlich bei Falscheingaben ja nur Datenmüll ensteht, dazu kommt das Benutzer schon mit gewöhnlichen Formularen überfordert sind.
    Interessant wäre vielleicht auch noch AJAX in Verbindung mit Cross Site Scripting, aber auch hier liegt die Verantwortung beim Programmierer, den genauso wie bei SQL-Injection liegt es an ihm die Daten auf dem Server vor der Weiterverarbeitung richtig zu prüfen.

  2. Carsten

    Leider wird beim Geoinformatik-Forum oft vergessen, die Vortragenden nach ihren Folien zu fragen, um sie ins Netz zu stellen. Aber da wäre diesmal zu der AJAX-Problematik eh nichts drin gewesen, das war eher eine Bemerkung am Rand, als es um Datenschutz im Allgemeinen ging.
    Du siehtst es meiner Meinung nach völlig richtig, dass man die Leute für solche Dinge sensibilisieren muss. Aber das geschieht halt nicht. Bei der Diskussion im Forum hat jemand von einer EMNID-Umfrage erzählt, bei der 40% der Befragten angegeben haben, sie würden ihr Handy nicht mehr benutzen, wenn man sie im GSM-Netz lokalisieren könnte. Das sagt ja schon einiges aus darüber, was der Ottonormalverbraucher so für ein Technikverständnis mitbringt.
    Um auf die AJAX-geschichte zurückzukommen: Ein richtig gefährliches Szenario für so etwas ist mir auch noch nicht eingefallen und das sehe ich dann auch eher im Cross Site Scripting, wo dann entsprechend die Browser-Entwickler gefragt sind, das zu unterbinden.

Die Kommentare für diesen Artikel sind geschlossen.