Beveiliging

Grofweg zijn de beveiligingsmogelijkheden van een internetsite afhankelijk van drie te onderscheiden componenten.

• Gebruikte webserversoftware (MS IIS, NT, Apache, Linux, Solaris). Een keuze voor webserversoftware wordt meestal genomen op basis van 'in huis' beschikbare kennis en de gewenste performance van de applicatie. Serversoftware en applicatiesoftware worden meestal op elkaar afgestemd. Beveiligingsaspecten zijn vaak ondergeschikt aan deze keuze. Ook al omdat beveiliging zelden waterdicht is en voor elk van de mogelijke combinaties ruime informatie voorhanden is.
• Software waarmee de (databasegestuurde) applicatie wordt gebouwd. Niet alle applicatiesoftware kent dezelfde beveiligingsmogelijkheden.
• Combinatie van inlognaam, password; en routines die daarop volgend kunnen worden losgelaten.

De risico's zijn in technische zin in een drietal groepen te verdelen.

• De kans dat datastromen worden opgepikt. Bijvoorbeeld een credit-card betaling of de combinatie username/password. Dit risico is aanwezig, maar wordt in het algemeen wel overschat. Een relatief 'eenvoudige' oplossing hiertegen is data-encryptie. Dat betekent dat de informatie tussen gebruiker en server versleuteld wordt.
• Authenticatie. Doel is zeker te weten dat de gebruiker degene is die hij zegt te zijn. Mensen kunnen zich voordoen als iemand anders, handelen als een ander. Bijvoorbeeld door de gebruiksnaam van iemand in te voeren en dan wat te proberen, of doordat ze een combinatie van username/password op een papiertje hebben zien staan, enzovoorts. In toenemende mate worden echter zwaardere beveiligingseisen gesteld. Daarbij valt te denken aan een digitale 'handtekening' (een uniek setje data geïnstalleerd als onderdeel van een browser; verstrekt door een officiële instantie, of een vertrouwde leverancier). Voorts zijn ook de chipkaart met password (pinpas met pincode) en geavanceerde technieken als digitale irsisherkenning of een vingerafdruk in opkomst. Dit levert een zeer veilige authenticatie op. Zolang echter niet iedere PC met een pas-, oog- of vingerlezer is uitgerust, zijn deze op zich veilige technieken niet toepasbaar.
• In de meeste gevallen wordt toegang verleent aan gebruikers om een deel van de informatie te kunnen raadplegen en niet om "volledige" toegang te verstrekken. Gedifferentieerde toekenning van rechten om informatie te raadplegen of te wijzigen, vereist een trapsgewijze beveiliging. Dergelijke beveiligingen zijn complex en daarmee is het risico op inbraak groter.
• In toenemende mate wordt ook gewezen op de openheid van software (open source). Bij gesloten software weet je tenslotte niet welke processen zich exact voltrekken.