Proxy cache, combinato con mal scritte sessioni di gestione di codice, può facilmente porta a gravi problemi di sicurezza simile a quello che abbiamo evidenziato in Una nuova violazione della sicurezza in Google Documenti Revealed.

Gli sviluppatori Web non hanno alcun controllo sulla cache del proxy in Internet. Tuttavia, gli sviluppatori hanno il controllo del codice che scrivono e le loro squadre hanno admin il controllo della loro configurazione di server web. Gli sviluppatori devono assumersi il caso peggiore scenario Internet aggressivo con le politiche di gestione della cache di Internet che servono in cache i dati economici e per motivi di prestazioni.

Questo fatto della vita su Internet i risultati nel web i clienti che ricevono contenuti che potrebbero risultare in più client Web di essere inviato lo stesso set-cookie HTTP, per esempio. Caching server proxy dovrebbe ottenere un nuovo cookie per il cliente di ogni nuova richiesta. Idealmente, non dovrebbero proxy cache cache sessione di gestione dei cookie e di distribuire in cache i cookie per più clienti. Tuttavia, sviluppatori di applicazioni che non possono assumere proxy cache sono ben comportati, soprattutto per le applicazioni dove la sicurezza e la privacy sono obbligatori.

Gli sviluppatori Web possono non sapere se il loro contenuto è consumato direttamente o tramite un proxy cache. Gli sviluppatori possono anche non ritenere che la risposta HTTP saranno consegnati al destinati browser. Inoltre, gli sviluppatori non possono essere sicuri che il browser riceve anche il contenuto. Ad esempio, un ID di sessione rilasciato ad un cliente viene utilizzato mentre è valida fino a quando o abbandonati e scaduto. Se l'atto è stato notificato e consegnato in risposta ad una richiesta HTTP GET in chiaro, non c'è alcuna garanzia che sarà consumato da il browser web.

Idealmente, SSL dovrebbe essere utilizzato su tutte le transazioni web che richiedono riservatezza e della privacy, tra cui la nostra recente Google Documenti violazione. D'altro canto, anche SSL non è infallibile. Ad esempio, molti sviluppatori web non corretto impostare il "Encrypted Solo Sessions" cookie di proprietà. Questi non correttamente configurata "sicuro" HTTPS server invierà i cookie in aperto, in chiaro.

Ci sono draghi ... ..





Maggiori informazioni ...