deserialisierungssicheren
Deserialisierungssicherheit (englisch *secure deserialization*) bezeichnet den Schutz von Softwareanwendungen vor Sicherheitsrisiken, die durch die Deserialisierung von Daten entstehen. Bei der Deserialisierung wird ein serialisierter Datenstrom (z. B. JSON, XML, Java-Serialization oder Binary-Formate) in ein Objekt oder eine Datenstruktur zurückgewandelt. Angreifer können manipulierte Datenströme einsetzen, um schädlichen Code auszuführen, Systeme zu manipulieren oder sensible Informationen zu extrahieren.
Ein zentrales Risiko ist die **Schwachstelle durch bösartige Serialisierungen**, bei der Angreifer gezielt manipulierte Daten senden,
Um Deserialisierungssicherheit zu gewährleisten, sollten Entwickler folgende Maßnahmen ergreifen:
- **Prüfung der Datenquelle**: Nur vertrauenswürdige Quellen für Deserialisierung nutzen und Eingaben validieren.
- **Nutzung sicherer Formate**: Standardisierte Formate wie JSON mit klaren Schemata bevorzugen, statt proprietärer Binärformate.
- **Signatur- oder Hash-Prüfungen**: Integritätschecks durchführen, um Manipulationen zu erkennen.
- **Einschränkung der Deserialisierungsrechte**: Nur notwendige Klassen und Methoden deserialisieren lassen.
- **Aktualisierung von Bibliotheken**: Sicherheitslücken in verwendeten Serialisierungsbibliotheken regelmäßig schließen.
Besonders kritische Anwendungen wie Finanzsysteme oder kritische Infrastruktur sollten Deserialisierungssicherheit als festen Bestandteil der Sicherheitsarchitektur behandeln.