Tim Bass
10-05-2008 03:41 AM
Caches proxy, junto con mal escrito el código de gestión de sesión, puede fácilmente conduce a graves fallas de seguridad similar a lo que se destaca en Un nuevo fallo de seguridad en Google Docs Revelado.

Los desarrolladores Web no tienen ningún control sobre la caché de proxy de Internet. Sin embargo, los desarrolladores tienen el control del código que escriben y de sus equipos de administración de configuración de control de sus servidores web. Los desarrolladores deben asumir el peor de los casos de Internet escenario con agresivas políticas de gestión de memoria caché de Internet que sirven para la caché de datos económicos y de rendimiento.

Como consecuencia, este hecho de su vida en la Internet a veces se traduce en múltiples clientes web que se envían la misma configuración de cookies cabeceras HTTP, por ejemplo, los servidores proxy caché .* debe obtener una nueva cookie para la solicitud de cada nuevo cliente. Idealmente, no debería caches proxy caché y las cookies de sesión en caché cookies para distribuir varios clientes. Sin embargo, los desarrolladores de aplicaciones no puede suponer que los caches proxy están bien comportado, especialmente para aplicaciones donde la seguridad y la privacidad son obligatorios.

Los desarrolladores Web no pueden saber si su contenido se consume directamente o a través de un proxy caché. Además, los desarrolladores no pueden asumir que la respuesta HTTP será entregado a la del navegador. Además, los desarrolladores pueden no estar seguro de que el navegador recibe incluso el contenido .* Por ejemplo, una sesión de identificación emitida a un cliente se acostumbra, si bien es válido o abandonados y hasta el vencimiento. En caso de que se sirve y emitido en respuesta a una solicitud GET de HTTP sin encriptar, no hay garantía de que será consumida por el navegador web.

Idealmente, se debe utilizar SSL en todas las web de las transacciones que requieren confidencialidad y la privacidad, incluyendo nuestro reciente Google Docs violación.* Por otro lado, incluso de SSL no es infalible. Por ejemplo, muchos desarrolladores web no ajustar correctamente el "codificado sesión único" cookie de la propiedad. Estos configurado incorrectamente "seguro" servidores HTTPS enviar "cookies" al aire libre, sin cifrar.

Hay dragones ...


Nota: a partir de la Reposted (ISC) 2 blog. </ p>

Fuente ...