Für jede der zehn häufigsten Angriffsarten auf Webanwendungen kennt ESAPI geeignete Gegenmaßnahmen.
Das Enterprise Security API (ESAPI), eine Beschreibung von Sicherheitsmaßnahmen für Webanwendungen, ist in Version 1.4 erschienen. Diese Release aktualisiert vor allem die Javadoc-Seiten und entfernt veraltete Schnittstellen.
ESAPI ist ein Unterfangen des Open Web Application Security Project (OWASP). Die Organisation sammelt Know-How zur Sicherheit von Webanwendungen, veranstaltet Konferenzen und entwickelt auch Security-Tools wie beispielsweise den HTTP-Analyse-Proxy Webscarab. zu den OWASP-Mitglieder gehören kleine Beratungsfirmen, Security-Anbieter wie Symantec und Branchenriesen wie IBM und Microsoft.
ESAPI beschreibt Methoden, die ein typische Webanwendung zur Absicherung benötigt. Dazu gehört die Bereinigung von Benutzereingaben, Schutz gegen Cross-Site-Scripting (XSS), Cross-Site Request Forgery (CSRF) und SQL-Injection. Weitere Methoden dienen der Zugangsbeschränkung für geschützte Inhalte, der Verschlüsselung von Kommunikation sowie einer geeigneten Fehlerbehandlung. Das Projekt stellt seiner Liste der zehn häufigsten Angriffsarten auf Webanwendungen jeweils geeignete Sicherheitsmaßnahmen entgegen.
Das ESAPI-Projekt rät Entwickler dazu, derartige Sicherheitsmethoden nicht immer neu nach eigenem Gutdünken umzusetzen, sondern auf das Know-How des OWASP-Projekts zu bauen, das nach eigenen Angaben das Wissen aus Penetration Testing und Code Review der vergangenen zehn Jahre versammelt.
Für jede der zehn häufigsten Angriffsarten auf Webanwendungen kennt ESAPI geeignete Gegenmaßnahmen.
Das API ist im Prinzip unabhängig von Betriebssystem-Umgebung und verwendeter Programmiersprache. Die derzeitige Referenzimplementierung ist allerdings in Java umgesetzt und bringt eine entsprechende Javadoc mit. Umsetzungen in Dotnet und PHP sind laut Projekt-Homepage in Arbeit.
Die Java-Implementierung von ESAPI 1.4 setzt Java 1.4.2 voraus, für Java-1.6-Anwendungen ist passender Code bereits in Quelltext-Kommentaren mitgeliefert. Die Referenz-Implementierung steht in Form von binären Jar-Dateien und als Quelltext-Archiv zum Download unter LGPL bereit. Die Macher laden zum Erfahrungsaustausch in ihre Mailingliste ein.
