Case: veiligere software door een zo klein mogelijke codebase
Hoe complexer en groter software wordt, hoe groter ook de kans op beveiligingsproblemen wordt, zei computerwetenschapper Gary McGraw in 2004 in een paper. De makers van eduVPN besloten om die reden zo min mogelijk code te gebruiken en de architectuur zo eenvoudig mogelijk te houden. Maar dat brengt weer eigen uitdagingen met zich mee.
© Shutterstock.com
Shutterstock.com
EduVPN wordt inmiddels door ruim 100 organisaties wereldwijd gebruikt, maar begon in 2014 als kleinschalige VPN-dienst voor studenten en medewerkers, die integreert met federatieve authenticatie als SURFconext. In datzelfde jaar werd een ernstige kwetsbaarheid ontdekt in de library OpenSSL, waarmee veilige verbindingen opgezet worden. “Dat was een trigger”, vertelt Rogier Spoor, productmanager bij SURF en co-founder van eduVPN. OpenSSL werd vooral door veel websites gebruikt, maar ook door diverse VPN-diensten. “Dat was zo’n belangrijke onderliggende technologie, dat het een enorme shock was.”