Seguridad en los lenguajes de programación más populares

---

La empresa WhiteHat Security, dedicada a ofrecer soluciones de seguridad a sitios web, publicó recientemente un informe donde se evalúa de manera profunda la seguridad de algunos de los lenguajes de programación más populares, entre los que se incluyen .Net, Java, ColdFusion, ASP y otros más.



En palabras de Jeremiah Grossman, fundador de WhiteHat Security, "la decisión de qué lenguaje de programación usar en algún proyecto a menudo se basa en consideraciones como qué tan familiarizado está el equipo de desarrollo con el lenguaje, con cuál se realiza el proyecto más rápido, o simplemente con cuál es posible realizar el trabajo solicitado por el cliente, consideraciones como qué tan seguro es el lenguaje a emplear surgen de último momento, cuando usualmente ya es demasiado tarde."
web-programming-languages.png
Además añadió "como industria carecemos de datos suficientes respecto a la seguridad en los lenguajes de programación que puedan ayudar a los equipos de desarrollo en la selección del lenguaje para realizar su proyecto. Para elaborar el informe se evaluó la seguridad en aplicaciones desde un punto de vista diferente, es decir, no se evaluaron los riesgos existentes al poner una aplicación o un sitio web en producción, en su lugar se examinó únicamente el lenguaje y su desempeño de acuerdo a sus características y funcionamiento. El objetivo es que, al hacer la selección del lenguaje de programación, las consideraciones que involucran seguridad en la aplicación sean tomadas en cuenta desde un principio, lo que conduciría a sitios y aplicaciones más seguras."



Investigadores de WhiteHat examinaron los resultados del análisis de vulnerabilidades realizado a más de 30 mil sitios web para evaluar el desempeño que los lenguajes de programación tienen en la industria. Con esa información es posible obtener resultados clave como cuáles lenguajes son más propensos a algunos ataques, con qué frecuencia y por cuanto tiempo, así como determinar el desempeño de los lenguajes de programación modernos.



Antes de realizar la investigación se examinó cuáles lenguajes son los más utilizados y se encontró, como era de esperarse, que .Net, Java y ASP son los más populares para realizar aplicaciones web con 28.1 %, 25% y 16% respectivamente.



Algunos que han existido por varios años como PHP (11%), ColdFusion (6%) y Perl (3%) completan el listado de lenguajes con mayor presencia.



La popularidad de .Net, Java y ASP significa que la superficie de ataque es más grande, de las vulnerabilidades encontradas el 31% estuvo presente en .Net, 28% en Java y 15% en ASP.



A partir de lo anterior, los investigadores obtuvieron lo siguiente:



•Al obtener el promedio respecto a la popularidad del lenguaje y la cantidad de vulnerabilidades encontradas, no se observa una diferencia significativa, para .Net se obtuvo un promedio de 11.36 mientras que para Java y ASP el promedio es de 11.32 y 10.98 por ciento respectivamente.



En cuanto al tipo de vulnerabilidad encontrada algunos resultados son:



•Cross-Site Scripting recuperó el sitio como la vulnerabilidad más común por encima de fuga de información, que fue la vulnerabilidad más recurrente el año pasado. XSS tiene mayor presencia en la mayoría de los lenguajes a excepción de .Net, cuya vulnerabilidad principal aún es fuga de información.

•ColdFusion tiene una tasa de 11% de vulnerabilidades de inyección SQL, seguido por ASP con 8% y .Net con 6%.

De las vulnerabilidades encontradas en Perl, 67% son de Cross-Site Scripting.

Muchas de las vulnerabilidades encontradas son indistintas a la elección del lenguaje de programación.



El informe completo puede consultarse en este https://info.whitehatsec.com/Social-Statsreport2014.html



http://www.seguridad.unam.mx/noticia/?noti=1672