Tim Bass
10-05-2008 03:41
Proxy caches, kombineret med dårligt skrevet session management-kode, kan let føre til alvorlige sikkerhedshuller i lighed med, hvad vi fremhævede i A New sikkerhedsbrud i Google Docs afsløret.

Web-udviklere har ingen kontrol over proxy cacher på internettet. Men udviklerne har kontrol med den kode, de skriver og deres admin hold har kontrol med udformningen af deres web-servere. Bygherren skal påtage sig det værst tænkelige Internet scenario med aggressive Internet cache styringspolitikker at tjene cached data for den økonomiske og driftsmæssige årsager.

Som følge heraf, dette faktum-af-livet på internettet undertiden fører til flere web-klienter bliver sendt samme Set-Cookie HTTP-headers, for eksempel .* caching proxy-servere for at få en ny cookie for hver ny kunde anmodning. Ideelt set, proxy caches bør ikke cache session management cookies og distribuere cache cookies til flere klienter. Dog kan applikationsudviklere ikke antage, at proxy caches er velopdragen, især for applikationer, hvor sikkerhed og privatlivets fred er påkrævet.

Web-udviklere kan ikke vide, om deres indhold er forbruges direkte eller via en proxy cache. Udviklere kan heller ikke antage, at HTTP-svar vil blive leveret til den påtænkte browseren. Desuden kan udviklere ikke være sikker på, at den planlagte browseren selv modtager den påtænkte indhold .* For eksempel kan en session ID, der er udstedt til en klient bliver brugt, mens den er gyldig eller indtil opgivet og udløb. Hvis det er serveret og leveret som reaktion på en ukrypteret HTTP GET-anmodning, er der ingen garanti for det vil blive forbrugt af den tiltænkte webbrowser.

Ideelt set SSL bør anvendes på alle web-transaktioner, der kræver fortrolighed og privatliv, herunder vores nylige Google Docs brud.* På den anden side, er endnu SSL ikke idiotsikker. For eksempel har mange web-udviklere ikke er korrekt indstillet "krypteret Sessions Kun" cookie ejendom. Disse forkert konfigureret "sikker" servere vil sende HTTPS cookies i det åbne, ikke-krypterede.

Der er drager, ...


Bemærk: Reposted fra (ISC) 2 blog. </ p>

Kilde ...