Det finnes svært få prosesser hvor du må huske like mange ting som når du bygger en ny webapp. UI, UX, fungerende backend, ytelse, mobiltilpasning, tredjepartsintegrasjoner, automatiserte tester…
Med så mange ting å bekymre seg for, er det lett å overse noe som uten tvil er viktigere enn noen av disse: cybersikkerhet.
Cybersikkerhet
56 % av organisasjoner opplevde et sikkerhetsbrudd eller kompromittering knyttet til sine webapplikasjoner de siste 12 månedene – opp fra 50 % året før. Og ting blir bare verre.
Greit, cybersikkerhet er viktig – det vet alle – men hvordan kan jeg, som utvikler en webapp, beskytte produktet mitt mot angrep?
Vi spurte Vebjørn, en ekspert innen cybersikkerhet, om praktiske tips til hvordan en gjennomsnittlig person som jobber med en webapp effektivt kan beskytte produktet sitt.
Hvor begynner man?
La oss starte med det helt grunnleggende. For sikkerhet i webapplikasjoner finnes det noe som kalles OWASP Top 10. Det er en liste over de ti mest vanlige og farlige sikkerhetsproblemene i webapplikasjoner, vedlikeholdt av OWASP (Open Web Application Security Project)-stiftelsen. Målet er å hjelpe deg med å forstå og prioritere hvilke sikkerhetsproblemer du bør være oppmerksom på.
Det har aldri vært enklere å bygge programvare enn det er i dag, siden noe av den beste informasjonen og de nødvendige verktøyene er gratis og lett tilgjengelige. OWASP Top Ten er et flott fellesskapsprosjekt som direkte bidrar til også å gjøre applikasjonssikkerhet tilgjengelig og enklere å forstå, og kan hjelpe med å sette retning for hvilke feilklasser du bør se etter. Å eksponere en applikasjon mot internett krever sterke sikkerhetskontroller, siden brukere stoler på at dataene deres og applikasjonens tilgjengelighet blir ivaretatt. Ett eneste brudd på denne tilliten kan være nok til å permanent skade eller ødelegge omdømmet ditt.
~ Vebjørn
Vebjørn er Offensive Security Lead med mange års erfaring innen penetrasjonstesting (etisk hacking) og applikasjonssikkerhet. Vi ba ham dele, basert på sin erfaring, de tre viktigste nybegynnertipsene for personer som bygger en webapp:
Start tidlig
Ta sikkerhet i betraktning helt fra begynnelsen av utviklingsprosessen hvis mulig. Søk veiledning om beste praksis for sikkerhet for applikasjonsstakken din, og implementer sikkerhetskontroller og -mekanismer i CI/CD-pipelinen din. Eksempler på dette kan være IDE-plugins, secrets-scannere som trigges av Github Actions, og verktøy for statisk kodeanalyse.
Ikke finn opp hjulet på nytt
Ikke lag dine egne autentiseringsmekanismer, kryptografiske algoritmer eller andre applikasjonskomponenter som er sentrale for den overordnede sikkerheten til applikasjonen (spesielt hvis du nettopp har begynt med applikasjonssikkerhet). Det finnes mange gode kommersielle og open source-prosjekter som både er enkle å bruke, gir en god brukeropplevelse, og er grundig kvalitetssikret av noen av de beste i bransjen. Fullverdige PaaS-backender som SupaBase fungerer for noen, mens andre kanskje foretrekker Better Auth eller EntraID. Gjør din egen research og finn en løsning som fungerer best for din applikasjon.
Bruk et motstandersinn
Tenk: Hva ville jeg gjort hvis jeg var en angriper som prøvde å ødelegge noe eller få tilgang til uautorisert data? Kunne jeg ganske enkelt økt en parameter som «userID=47» til «userID=48» og fått tilgang til en annen brukers profil? Hva med denne API-nøkkelen som er hardkodet i main.js? Kan den utnyttes på en utilsiktet måte? Hackere og penetrasjonstestere stiller seg slike spørsmål hele tiden, fordi de kan føre til at man avdekker svakheter i en applikasjon. Tenk kreativt og bygg med motstanderen i tankene.
Takk for disse verdifulle tipsene!
Neste steg
Hvis du ikke har implementert disse endringene ennå, er det på tide nå! Tiden da cybersikkerhet bare var en bonus er for lengst over – i dag er det et absolutt krav!
Ønsker du hjelp med å bygge en webapp som er både sikker og funksjonell? Ta kontakt med oss, så hjelper vi deg med å finne ut hva som gir mening og hvor du bør starte.
Interessert i dette temaet? Sjekk ut Vebjørns profil på LinkedIn eller les hva Rocksofts CEO, Piotr, deler om 5 ting du bør vurdere før du starter arbeidet med et produkt.
