XML-programmeurs moeten zich wapenen tegen aanvallen op hun applicaties. Dat stelde Rene Bensen, beveiligingsdeskundige bij Capgemini, vorige week op een bijeenkomst van de SGML/XML gebruikersgroep. “In het lab zijn de eerste XML-exploits al bedacht.”
“XML is een gevaarlijk protocol”, aldus Bensen. “Je browst niet op een webserver door de reclame, met XML komt je rechtstreeks aan de data van het bedrijf. Er hoeft maar één bedrijf te zijn in de keten dat aan beveiliging onvoldoende aandacht geeft en het is gebeurd met je data.” Er zijn inmiddels enkele tientallen applicaties op de markt die kunnen beschermen tegen XML-zwakheden, aldus Bensen. Dit soort ‘application layer firewalls’ kijken ook naar de inhoud van pakketten. “Van wie is het, voor wie is het bestemd en wat doet het?” Dit type firewall is volgens Bensen meestal gebaseerd op Linux. “Het is echt een appliance, je doet hem aan en het werkt.”
Https
Volgens Bensen zijn er naast deze apparaten nog enkele andere methoden die beschermen tegen misbruik van XML-code. Daartoe rekent hij onder meer het gebruik van een beveiligde transportmethode (https), het goed verborgen houden van de interne servers, het ondertekenen en met datum- en tijd bestempelen van alle berichten en het versleutelen van de inhoud van de XML-berichten. Dit soort beschermingsmaatregelen worden verwoord in gedragscodes voor programmeurs. Bensen raadde de zeventien deelnemers aan de bijeenkomst dan ook aan goed in de gaten te houden welke beveiligingsstandaard de komende maanden wordt aangekondigd. Verschillende partijen leggen de laatste hand aan het ontwerp van zo’n standaard, aldus Bensen. “De ontwikkelingen op dit gebied gaan snel.”
Eén van deze is SAML, Security Assertions Markup Language, waarmee authenticatie en autorisatie van webdiensten mogelijk is. Bensen: “SAML is kanshebber voor deze standaard. Besluit Cisco echter morgen XML op een andere manier te willen beveiligen, dan volgt de rest vanzelf. Zo sterk is Cisco’s invloed hierop.” Exploits van XML-applicaties zijn nog niet bekend. Bensen stelt dat beveiligingslabs echter al zwakke plekken hebben ontdekt. Het is volgens de Capgemini-adviseur een kwestie van tijd voor zelfs de meest simpele hackers, de zogenoemde script kiddies, zich hier op storten.
“XML als methode voor de uitwisseling van gegevens, staat aan de vooravond van een brede introductie. De betrouwbaarheid moet daarom goed geregeld zijn.” Op die manier verklaart ict-consultant Erwin Mateman, een van de organisatoren van de bijeenkomst, de aandacht van de SGML/XML-gebruikersgroep voor beveiliging. “Je wil niet dat via een XML-toepassing bijvoorbeeld wormen of virussen je bedrijfsnetwerk besmetten.”
Notarissen overbodig
Een tweede lezing van de SGML/XML gebruikersgroep vorige week lijkt het einde te voorspellen van de notaris. Dick Batenburg, zelf notaris, wil het nog niet helemaal zo scherp stellen: “Een elektronische notariële akte dat echter moet wel snel mogelijk worden. Dat houd ik mijn collega’s wel voor. Anders plaatsen we ons buiten de werkelijkheid.” Na zijn uitleg over digitale ondertekening lijkt het de aanwezigen mogelijk de notaris te vervangen door software in een ‘negentien inch rack’.
Batenburg is oprichter van Diginotar, een bedrijf dat met XML een methode aanbiedt voor gekwalificeerde digitale handtekeningen. Een dergelijke handtekening heeft dezelfde wettelijke kracht als een op papier geplaatste handtekening. De Nederlandse wet staat elektronische handtekeningen sinds 2003 toe. Deze moeten wel voldoen aan een aantal voorwaarden. Het bij webwinkels gangbare aanloggen met naam, wachtwoord en het voor de aankoop klikken voor akkoord is volgens Batenburg absoluut niet vergelijkbaar met een handtekening. Dat betekent niet dat de winkel zonder bescherming is, maar mocht het komen tot een geschil, dan moeten beide partijen flink wat elektronische gegevens uitpluizen. “Een bedrijf moet dan bijvoorbeeld kunnen bewijzen dat het niet weet wat de naam/wachtwoord-combinatie is. Dat kan soms erg lastig zijn.” De gekwalificeerde digitale handtekening moet dat soort geschillen tussen bedrijven voorkomen.
Notariële controle met XML
Diginotar regelt de notariële controle met een in XML uitgevoerde toepassing. Het bedrijf slaat de gegevens op in een eigen database, en verifiëert of beide partijen op de juiste manier voldoen aan de eisen voor de zakelijke transactie. Beide partijen krijgen een bericht om de transactie te accorderen en ook deze correspondentie wordt door de applicatie nagekeken.
Deze gekwalificeerde handtekening gaat daarmee flink verder dan een andere digitale handtekening, de geavanceerde handtekening. Die is echter ook bruikbaar.
De geavanceerde handtekening moet voldoen aan vier voorwaarden:
De ondertekening van onze jaarlijkse belastingaangifte voldoet niet aan deze eisen. Batenburg: “Dat is niet erg. Stel dat iemand de code voor de ondertekening misbruikt en je aangifte vervalst. In het ergste geval krijg je dan een verkeerde aanslag. Daartegen kan je dan in bezwaar gaan, en alsnog een goede aangifte doen.”
