Tim Bass
10.05.2008 03:41
Proxy caches, in combinatie met slecht geschreven sessie management code, kan gemakkelijk leiden tot ernstige beveiligingsfouten vergelijkbaar met wat we gemarkeerd Een nieuwe inbreuk op de beveiliging in Google Docs Revealed.

Web ontwikkelaars hebben geen controle over de proxy-caches op het internet. Echter, ontwikkelaars hebben de controle van de code die zij schrijven en hun admin teams hebben configuratiecontrole van hun webservers. Ontwikkelaars moeten aannemen dat de 'worst case scenario met Internet agressieve internet cache beheer beleidsmaatregelen die dienen cachemodus gegevens voor economische en prestaties redenen.

Als gevolg hiervan dit feit-of-life op het internet soms resulteert in meerdere webpagina klanten wordt verzonden op dezelfde Set-Cookie HTTP-headers, bijvoorbeeld .* caching proxy servers moeten krijgen een nieuwe cookie voor elke nieuwe klant de aanvraag. Idealiter proxy caches moet niet in de cache sessie beheer van cookies en cache distribueren cookies om meerdere klanten. Echter, applicatie-ontwikkelaars er niet van uitgaan dat de proxy-caches goed gedragen, met name voor toepassingen waar veiligheid en privacy zijn vereist.

Webontwikkelaars kunnen niet weten of hun inhoud rechtstreeks wordt verbruikt of via een proxy-cache. Ontwikkelaars kunnen ook niet van uitgaan dat de HTTP-antwoorden zullen worden geleverd op de juiste browser. Bovendien kunnen ontwikkelaars niet zeker van zijn dat de juiste browser, zelfs ontvangt de juiste inhoud .* Als u bijvoorbeeld een sessie-ID afgegeven aan een cliënt wordt gebruikt terwijl het geldig is of totdat verlaten en vervallen. Als het wordt geserveerd en geleverd in antwoord op een niet-versleutelde HTTP GET-verzoek, is er geen garantie zal worden verbruikt door de juiste webbrowser.

Idealiter, SSL moet worden gebruikt op alle web-transacties die de vertrouwelijkheid en privacy, met inbegrip van onze recente Google Docs schending.* Aan de andere kant, zelfs SSL is niet waterdicht. Zo hebben veel webontwikkelaars niet correct ingesteld de "Encrypted Sessions Only" cookie eigendom. Deze onjuist geconfigureerd "veilige" servers stuurt HTTPS cookies in de open, niet geëncrypteerd.

Er draken zijn ...


Opmerking: reposted van (ISC) 2 blog. </ p>

Bron ...