Le piattaforme Low Code No Code non sono prive di vulnerabilità

Che cos'è il codice basso senza codice?

Low Code No Code (LCNC) è un termine utilizzato per descrivere lo sviluppo di applicazioni software che utilizzano poco o nessun codice. Questo tipo di sviluppo viene in genere eseguito utilizzando strumenti visivi di trascinamento della selezione, piuttosto che linguaggi di codifica tradizionali. LCNC può essere utilizzato per sviluppare applicazioni semplici o soluzioni aziendali complesse. Gartner prevede che entro il 2025, il 70% delle nuove applicazioni sviluppate dalle aziende utilizzerà tecnologie low-code o no-code, rispetto a meno del 25% nel 2020

Quali sono i vantaggi dell'utilizzo di LCNC?

1. Produttività incrementata
2. Maggiore flessibilità
3. Costi di sviluppo ridotti
4. Tempi di sviluppo più rapidi

La vulnerabilità di LCNC è esente?

Le applicazioni Low Code No Code possono presentare alcune vulnerabilità come qualsiasi software tradizionale disponibile. Il modello di minaccia è leggermente diverso. Possiamo scomporre il modello in due:

• Il framework: il nucleo della piattaforma come la piattaforma WordPress
• I plug-in: i plug-in di terze parti sono responsabili della funzionalità o, in altre parole, eseguono la magia Low Code No Code.

Approfondiamo questo modello di minaccia

Il framework è il motore che combina tutte le parti insieme in un'unica applicazione funzionante. La regola è semplice, maggiore è il framework generico, maggiori sono le funzionalità disponibili e maggiori sono le potenziali vulnerabilità.

I plugin sono la funzionalità effettiva nella piattaforma LCNC. Tali plug-in provengono da fornitori di terze parti come sviluppatori di software open source (OSS) o plug-in supportati dall'azienda. Tali plug-in potrebbero avere vulnerabilità "innocenti" create per errore dagli sviluppatori e/o dagli attori delle minacce che stanno contribuendo a tali plug-in e che potrebbero essere fatali. Possiamo dividere nuovamente la gestione del rischio in due:

• Software Chain Security (SCS): attori delle minacce che aggiungono codice dannoso che fungerà da prima catena di violazione in altri (ad esempio, utilizzando payload JavaScript dannoso). Quindi, attacco attivo.
• Vulnerabilità "innocenti": come qualsiasi altro software, questi plug-in potrebbero presentare vulnerabilità, ma un attore delle minacce dovrà trovarle e sfruttarle per ottenere un impatto. Quindi, attacco passivo.

Low Code No Code è uno strumento rapidamente adottato nel settore. Come ogni nuovo strumento, ci vorrà del tempo per comprendere tutti gli impatti sulla sicurezza. Ai miei occhi, lo vedo proprio come qualsiasi altro software. I plugin sono le dipendenze e la piattaforma è il framework. Al giorno d'oggi, proteggere la base di codice tradizionale è uno standard. Dovresti fare lo stesso anche per le tue applicazioni LCNC.