Las plataformas Low Code No Code no están libres de vulnerabilidades

¿Qué es el código bajo sin código?

Low Code No Code (LCNC) es un término utilizado para describir el desarrollo de aplicaciones de software que utilizan poco o ningún código. Este tipo de desarrollo generalmente se realiza mediante herramientas visuales de arrastrar y soltar, en lugar de los lenguajes de codificación tradicionales. LCNC se puede utilizar para desarrollar aplicaciones simples o soluciones empresariales complejas. Gartner predice que para 2025, el 70 % de las nuevas aplicaciones desarrolladas por las empresas utilizarán tecnologías de código bajo o sin código, frente a menos del 25 % en 2020.

¿Cuáles son los beneficios de usar LCNC?

1. Productividad incrementada
2. Mayor flexibilidad
3. Costes de desarrollo reducidos
4. Tiempos de desarrollo más rápidos

¿La vulnerabilidad de LCNC está libre?

Las aplicaciones Low Code No Code pueden tener algunas vulnerabilidades, al igual que cualquier software tradicional que existe. El modelo de amenazas es un poco diferente. Podemos dividir el modelo en dos:

• El marco: el núcleo de la plataforma, como la plataforma de WordPress.
• Los complementos: los complementos de terceros son responsables de la funcionalidad o, en otras palabras, hacen la magia Low Code No Code.

Profundicemos en este modelo de amenazas

El marco es el motor que combina todas las partes en una sola aplicación de trabajo. La regla es simple, cuanto más marco genérico, más funciones disponibles y más vulnerabilidades potenciales.

Los complementos son la funcionalidad real en la plataforma LCNC. Esos complementos provienen de proveedores externos, como desarrolladores de software de código abierto (OSS) o complementos respaldados por la empresa. Esos complementos podrían tener vulnerabilidades "inocentes" cometidas por error por los desarrolladores y/o los actores de amenazas que contribuyen a esos complementos y que podrían ser fatales. Podemos dividir la gestión de riesgos nuevamente en dos:

• Seguridad de la cadena de software (SCS): actores de amenazas que agregan código malicioso que actuará como la primera cadena de infracciones en otras (por ejemplo, utilizando la carga útil de JavaScript malicioso). Por lo tanto, ataque activo.
• Vulnerabilidades "inocentes": como cualquier otro software, esos complementos podrían tener vulnerabilidades, pero un actor de amenazas deberá encontrarlas y explotarlas para obtener algún impacto. Por lo tanto, ataque pasivo.

Low Code No Code es una herramienta de rápida adopción en la industria. Como cualquier herramienta nueva, llevará tiempo comprender todos los impactos de seguridad. A mis ojos, lo veo como cualquier otro software. Los complementos son las dependencias y la plataforma es el marco. Hoy en día, proteger el código base tradicional es un estándar. Debería hacer lo mismo con sus aplicaciones LCNC.