Proxy-caches, in combinatie met slecht geschreven sessies beheer code, kan gemakkelijk leiden tot ernstige veiligheidsgaten die vergelijkbaar zijn met wat we in Een nieuwe inbreuk op de beveiliging in Google Docs Revealed.

Web ontwikkelaars hebben geen controle over de proxy-caches op het internet. Echter, ontwikkelaars hebben de controle van de code die zij schrijven en hun admin teams hebben configuratiecontrole van hun webservers. Ontwikkelaars moeten aannemen dat de 'worst case scenario met Internet agressieve internet cache beheer beleidsmaatregelen die dienen cachemodus gegevens voor economische en prestaties redenen.

Dit feit van het leven op het internet de resultaten in web cliënten ontvangen inhoud die kan resulteren in meerdere webpagina klanten worden verzonden dezelfde Set-Cookie HTTP-headers, bijvoorbeeld. Caching proxy servers moeten krijgen een nieuwe cookie voor elke nieuwe klant verzoek. Idealiter, proxy caches moet niet cache sessiebeheer cookies en cache opgeslagen cookies te distribueren naar meerdere klanten. Echter, applicatie ontwikkelaars kan niet aannemen dat de proxy-caches zijn goed gedragen, met name voor toepassingen waar veiligheid en privacy zijn vereist.

Webontwikkelaars kunnen niet weten of de inhoud ervan wordt verbruikt rechtstreeks of via een proxy-cache. Ontwikkelaars kunnen ook niet van uitgaan dat de HTTP-antwoorden zullen worden geleverd aan de beoogde browser. Bovendien kunnen ontwikkelaars niet zeker van zijn dat de beoogde browser, zelfs ontvangt de beoogde inhoud. Bijvoorbeeld een sessie-id die aan een cliënt wordt gebruikt terwijl het geldig is, of totdat verlaten en vervallen. Als hij wordt opgediend en uitgebracht in reactie op een ongecodeerde HTTP GET-verzoek, is er geen garantie wordt geconsumeerd door de voorgenomen webbrowser.

Idealiter, SSL moet worden gebruikt op alle web-transacties die de vertrouwelijkheid en privacy, met inbegrip van onze recente Google Docs schending. Aan de andere kant, zelfs SSL is niet waterdicht. Bijvoorbeeld, vele webontwikkelaars niet correct instellen van de "Encrypted Sessions Alleen" cookie eigendom. Deze onjuist geconfigureerd "veilige" servers sturen HTTPS cookies in de open, ongecodeerde.

Er worden draken ... ..





Meer ...