Les attaques de bases de données par injection de code SQL pourraient être prévenues, selon un expert en sécurité cité par IT World Canada.
IT World Canada rappelle que ces attaques contre des sites Internet sont encore utilisées par des pirates informatiques pour accéder à des informations personnelles, tels que ceux qui auraient recueilli 4,5 milliards d’enregistrements dans les bases de données de 420 000 sites web et FTP.
Selon Johannes Ullrich, chef de la recherche au SANS Institute, qui est un fournisseur de formations en sécurité, il n’y a pas de raisons pour que des vulnérabilités propices aux attaques par injection de code SQL existent encore aujourd’hui.
L’expert explique que des vulnérabilités propices aux attaques par injection de codes SQL malintentionnés peuvent être créés quand des programmeurs SQL utilisent la technique Dynamic SQL, dans laquelle l’instruction SQL est assemblée en chaîne qui utilise des données d’utilisateurs.
La solution reposerait ainsi sur les programmeurs SQL, qui devraient aujourd’hui pouvoir utiliser des instructions préparées pour envoyer les instructions SQL et les données d’utilisateurs séparément à la base de données, pour que les données ne puisse pas changer la requête.
Cependant, des bases de données n’auraient pas été encore compatibles avec les instructions préparées jusqu’à il y a cinq ans. Les développeurs de ces bases de données plus vieilles pourraient donc ne pas être familiers avec des instructions préparées plus longues et plus difficiles à écrire.
