bug

Link – Episódio de True Detective derruba HBO GO

Sabemos ou pelo menos deveríamos saber, da importância dos testes de performance quando tratamos de aplicações Web. O tema que inclusive já abordamos aqui (Entendendo os testes de performance) é frequentemente deixado em segundo plano, o que acaba causando problemas graves, como o que vi nas notícias publicadas ontem e hoje sobre o HBO GO.

É impressionante a quantidade de aplicações web disponíveis, que continuam decepcionando seus usuários, pois de nada adianta estarem “funcionalmente” corretas se a medida que a quantidade de acessos cresce o serviço deixa de responder a tempo ou mesmo não responde. No exemplo do link sobre a HBO GO, como pode um serviço que custa o dobro do Netflix nos Estados Unidos conseguir apresentar tal nível de qualidade aos consumidores? Quanto irá custar a HBO essa publicidade negativa?

Nos últimos dias quem acompanhou as notícias do mundo de TI deve ter visto ou ouvido sobre o bug do on mouse over do twitter ou do Bom Sabado do Orkut.

Entrando um pouco mais em detalhes sobre a causa do problema vamos ver que a falha de segurança foi ocasionada pelo famoso Cross-Site Scripting ou simplesmente XSS (é famoso mas muita gente não conhece, inclusive eu não conhecia 😛 #ShameOnMe). Para começar, vamos a uma rápida definição de XSS:

Cross-site scripting (XSS) is a type of computer security vulnerability typically found in web applications that enables malicious attackers to inject client-side script into web pagesviewed by other users.

Quem já ouviu falar em SQL Injection? Pois bem, XSS é uma vulnerabilidade semelhante só que utilizando javascript, algum usuário insere código javascript malicioso (pegar as sessões de usuário, redirecionar navegação para outro site mais malicioso ainda, etc) em algum formulário na web, e BANG! quando alguém vizualizar aquelá informação no sistema, o código malicioso será executado (e possivelmente propagado, como no caso do bug do orkut).

Meu amigo Edwin Carlo me apresentou o OWASP (Open Web Application Security Project) que é uma organização focada em melhorar a segurança dos sistemas web, e eles mantém um rank das vulnerabilidades mais comuns, e adivinha? XSS é a segunda (só perde para injections tipo sql injection).

A boa notícia é que existem soluções fáceis para evitar ataques do tipo XSS, e aqui vai um redirect para outro amigo meu, Tiago Farias que fez um post bem legal e detalhado sobre como criar um Filtro Anti-XSS em Java. Você, meu amigo desenvolvedor, por favor atente para isso a partir de agora 🙂