ja hoor, dat verhaal over ASP klopt.

Waarna ik min of meer al afhaakte...

Het probleem is niet ASP, of de leeftijd daarvan. ASP is nog steeds relevant en wordt nog steeds ondersteund door Microsoft. Simpelweg stellen dat omdat het uit 1996 is het "verouderde technologie" is is wel heel kort door de bocht. Klaarblijkelijk vergeet de auteur voor het gemak dat TCP/IP (waar het hele internet op draait) nog veel ouder is.

Het gebruik van ASP ansich is niet het probleem, ook al doet de auteur z'n best om dat zo te laten lijken. Het probleem is ISI media geweest die niet goed met deze technologie om kan gaan. En zeker niet veilig daarin kan programmeren. Iets wat zeker goed mogelijk is met ASP, mits je weet wat je doet.

Als klap op de vuurpijl de "oplossing":

Er worden dagelijks honderden, zo niet duizenden, websites gehackt die Wordpress draaien. Heel wat meer dan sites die ASP gebruiken. Maar dat lijkt hij niet te weten.

@SirDice: Kompliment.

Maar de schrijver van het commentaar richt zich niet alleen op zijn persoonlijke opvatting omtrent de gebruikte technologie, maar vooral ook op de maker van de website.
Die mag hij -professioneel gezien- niet!

Wat ik even niet begrijp is dat SirDice stelt dat ASP wel wordt ondersteunt door MS, maar dat het commentaar zegt dat dit niet zo is voor wat betreft de gebruikte versie. (?)

Laat ik het zo stellen: hij doet wel heel erg zijn best om een bepaalde richting op te praten. Er kan vrij eenvoudig wat tegengas worden gegeven:

(1) De schrijver verwijst naar de OWASP pagina. Op die pagina staat echter een belangrijke zin die hij niet in zijn artikel noemt: "There are several issues inherent to classic ASP pages that may lead to security issues. We are talking about beginner mistakes or code misuse." Oftewel, als je weet wat je doet, hoeven de ASP design problemen geen nadelige effecten te hebben voor een website, zeker niet als je beseft dat de rkkerk website voornamelijk tekst bevat, zoals de auteur zelf aangeeft.

(2) Het beveiligingsprobleem dat hij in de sendbinary.asp file aantrof heeft niets met ASP te maken. Het heeft te maken met gebrekkige input filtering. Dara kun je de website bouwer inderdaad op afrekenen. Als de richtlijnen waren gevolgd zoals aangegeven op http://msdn.microsoft.com/en-us/library/ms525813(v=vs.90).aspx was er niets aan de hand geweest.

(3) Er is nog steeds support op ASP geleverd, zoals http://www.hanselman.com/blog/LifecycleSupportForClassicASPInWindows.aspx ook aangeeft.

(4) Verwijzingen naar buffer overflow of SQL injection in het artikel staan los van ASP. Die aanvalsvectoren zijn het gevolg van het niet beveiligingsbewust (kunnen) programmeren van de site door Isimedia.


Dat de schrijver van het artikel de titel "adviseur" in twijfel trekt, doordat de website maker geen apps op zijn naam heeft staan, vind ik wel erg kort door de bocht. Sinds wanneer moet een adviseur apps maken om de titel "adviseur" te verdienen? Staat er op zijn website dat hij apps maakt? Nee. De schrijver van het artikel bekijkt de situatie een beetje teveel vanuit zijn eigen perspectief als programmeur. Hij heeft een valide punt dat de veiligheid slecht is. Onderbouwde redenen dat een eenvoudige en veilige website niet in ASP gemaakt kan worden heb ik helaas niet gezien.

Ik heb verder niet naar de site in kwestie gekeken. Ik ben puur afgegaan op het commentaar. En daar schortte het nodige aan.

Uiteraard moet je zorgen dat je de laatste patches hebt. Als ik heel snel even kijk draaien ze IIS 6.0. Dat is onderdeel van Windows 2003 en dat wordt toch nog steeds ondersteund. Ik zie dan ook niet zo snel die "verouderde technologie".

Saillant detail, WordPress is geschreven in PHP en dat is vergelijkbaar met ASP (niet helemaal maar voor het argument wel). PHP is begonnen in 1995 en is dus feitelijk ouder dan ASP. "Prehistorische internettechnologie" aldus Ing. Erwin Christiaan Frederic Wolff. Beetje raar dat'ie dat dan als alternatief noemt.

ASP is oud, maar zeker niet onveilig. hij verwijst naar een bestand, wat waarschijnlijk niet goed geprogrammeerd is ik ga hier dan ook van uit dat er gewoon een slechte programmeur aan het werk was.