Low-Code-No-Code-Plattformen sind nicht frei von Schwachstellen

Was ist Low-Code-No-Code?

Low Code No Code (LCNC) ist ein Begriff, der verwendet wird, um die Entwicklung von Softwareanwendungen mit wenig oder keinem Code zu beschreiben. Diese Art der Entwicklung erfolgt in der Regel mit visuellen Drag-and-Drop-Tools und nicht mit herkömmlichen Programmiersprachen. LCNC kann verwendet werden, um einfache Anwendungen oder komplexe Unternehmenslösungen zu entwickeln. Gartner prognostiziert, dass bis 2025 70 % der von Unternehmen entwickelten neuen Anwendungen Low-Code- oder No-Code-Technologien verwenden werden – gegenüber weniger als 25 % im Jahr 2020

Was sind die Vorteile der Verwendung von LCNC?

1. Gestiegene Produktivität
2. Erhöhte Flexibilität
3. Reduzierte Entwicklungskosten
4. Schnellere Entwicklungszeiten

Ist die LCNC-Sicherheitslücke frei?

Low-Code-No-Code-Anwendungen können einige Schwachstellen aufweisen, genau wie herkömmliche Software da draußen. Das Bedrohungsmodell ist etwas anders. Wir können das Modell in zwei Teile aufteilen:

• Das Framework – der Kern der Plattform wie der WordPress-Plattform
• Die Plugins – Plugins von Drittanbietern sind für die Funktionalität verantwortlich oder machen mit anderen Worten die Low-Code-No-Code-Magie.

Lassen Sie uns tiefer in dieses Bedrohungsmodell eintauchen

Das Framework ist der Motor, der alle Teile zu einer funktionierenden Anwendung zusammenfasst. Die Regel ist einfach: Je generischer das Framework, desto mehr verfügbare Funktionen und desto mehr potenzielle Schwachstellen.

Die Plugins sind die eigentliche Funktionalität in der LCNC-Plattform. Diese Plugins stammen von Drittanbietern wie Open Source Software (OSS)-Entwicklern oder von Unternehmen unterstützten Plugins. Diese Plugins könnten „unschuldige“ Schwachstellen aufweisen, die versehentlich von den Entwicklern und/oder Bedrohungsakteuren gemacht wurden, die zu diesen Plugins beitragen, und die fatal sein könnten. Wir können das Risikomanagement wieder in zwei Teile unterteilen:

• Software Chain Security (SCS) – Bedrohungsakteure, die schädlichen Code hinzufügen, der als erste Verletzungskette in andere fungiert (z. B. mit schädlicher JavaScript-Nutzlast). Daher aktiver Angriff.
• „Unschuldige“ Schwachstellen – wie jede andere Software können diese Plugins Schwachstellen aufweisen, aber ein Angreifer muss sie finden und ausnutzen, um eine Wirkung zu erzielen. Daher passiver Angriff.

Low Code No Code ist ein schnell angenommenes Tool in der Branche. Wie bei jedem neuen Tool wird es einige Zeit dauern, alle Auswirkungen auf die Sicherheit zu verstehen. In meinen Augen sehe ich es genauso wie jede andere Software. Die Plugins sind die Abhängigkeiten und die Plattform ist das Framework. Heutzutage ist der Schutz der traditionellen Codebasis ein Standard. Das Gleiche sollten Sie auch für Ihre LCNC-Anwendungen tun.