Hi boardies,

mir geistert jetzt schon seit geraumer Zeit eine Idee im Kopf rum, die ich jetzt gerne mal zur Diskussion stellen möchte.

Ich habe mich schon oft gefragt, ob die gerade programmierte Software auch sicher gegenüber Dingen wie SQL-Injection, XSS usw. ist - von den Sicherheitsrelevanten Dingen in der Programmierung selber mal abgesehen.

Daher war es mein Gedanke, eine Gruppe von Programmierern zu finden, die gemeinschaftlich eine Art "PHP-Secure Application"-Label gründen würden.

Über die eigentliche Organisation eines solchen Unterfangens habe ich noch keine konkreten Vorschläge zu machen. Es sollte aber in jedem Fall so unkommerziell wie möglich ablaufen, um auch OpenSource-Programmierern die Möglichkeit zu geben, Ihre Software testen zu lassen.

Die teilnehmenden Programmierer sollten in jedem Fall fortgeschrittene Kenntnisse in den Bereichen PHP, Webserver, Javascript und SQL aufweisen und die Sicherheitsstrategien im Internet und in der Programmierung begriffen haben.

Ziel des ganzen soll es sein, die verwendeten Systeme im Internet sicherer zu machen und durch die Schaffung eines Prüfverfahrens und eines entsprechenden Zertifikats dieses auch zu publizieren.

Was haltet Ihr davon?
Wäre das eine Sache an der Ihr teilnehmen würdet? Wenn ja, in welcher Form? Wenn nein, warum nicht?

Viele Grüße,
Marco

Mister Ad

Corvin

Hi,

Sehr gute Idee!!

Ja.
Wie meinst du das?

Habe ich, ausser in Sachen JavaScript habe ich leider nur grundlegende Kenntnisse.

die idee ist super..
würd auch mitmachen..

aber es wird wohl schwer sein, dies in irgendeiner form global zu machen, resp. dass jeder seine scripte testen kann..
meist braucht man zum testen neben dem ganzen source, auch die db-daten und so und ich denk, man kann das leider schlecht verallgemeinern..

form -> open source natürlich..

Corvin

Jepp, das sehe ich auch so.

IMO auch sinnvoll, da php, mysql, posgreSQL open source sind..

obwohl ich nicht so der Kenner in Sicherheitslücken bin, würde ich doch helfen, indem ich helfe, ein paar logische Probleme zu lösen, oder solche Dinge wie Ausdrucksüberprüfungen übernehmen.
Gruß,
Jojo

ich finde die idee super, allerdings wenn das Team dann jedes Script aus genauste untersucht (mit Source analyse usw) wird das warscheinlich ein ziehmlich großer aufwand werden. Naja wenn sich genügend Leute finden die sich täglich paar stunden hinsetzen und für lau scripte testen

ich mein, es funktioniert bestimmt, dass man einige Dinge über einen Validator überprüfen läßt.
Nur den gilt es zu entwickeln!

Simbo

hätte auch interesse was beizutragen...
ins profi-forum schreib ich zwar nich , aber in php und js hab ich schon n bisserl was drauf...

die frage ist, wie das dann zu realisieren ist, wenn man zum beispiel nach sql-injection überprüft und eine sicherheitslücke findet, daß man dann nicht gleich die Datenbank zerschießt.
Man muß die Sicherheitslücke, ja durch Angriffssimulationen testen und wenn diese greifen, kann das im ernstfall gravierende folgen haben.

also wie simuliert man beispielsweise eine sql-injection oder ähnliches ohne beim betreffenden projekt schaden anzurichten?

__________________
simbo.de

@simbo
die sql-injektion muss ja nicht gerade ein dropp database sein

@Frogg

klasse Idee, die Umsetzung ( org. Dinge, Konzeption usw. ) dürfte nicht gerade einfach werden


mfg