Tim Bass
10-05-2008 03:41
Proxy cacher, kombinert med dårlig skrevet økt ledelsen kode, fører lett til alvorlig sikkerhetshull ligner på det vi markert i Et nytt brudd på sikkerheten i Google Docs Avdekket.

Webutviklere har ingen kontroll over proxy hurtigbufrer på Internett. Men utviklerne har kontroll av koden de skriver og deres admin team har konfigurasjon kontroll over sine webservere. Utviklere må anta verste fall Internet scenario med aggressive Internet cache ledelse politikk som serverer hurtigbufrede data for økonomiske og ytelsesgrunner.

Som en konsekvens av dette faktum-of-life på internett noen ganger resulterer i flere web klienter blir sendt samme Set-Cookie HTTP-hoder, for eksempel .* Caching proxy-servere bør skaffe en ny informasjonskapsel for hver nye klient forespørsel. Ideelt sett proxy bufrer bør ikke buffer økt ledelsen cookies og distribuere skjulested informasjonskapsler til flere klienter. Imidlertid kan programutviklere ikke anta at proxy bufrer er godt oppførte seg, spesielt for applikasjoner hvor sikkerhet og personvern er nødvendig.

Webutviklere kan ikke vite om innholdet er fortært direkte eller via en proxy cache. Utviklere kan heller ikke anta at HTTP-svar vil bli levert til den tiltenkte leseren. Videre kan utviklerne ikke være sikker på at den tiltenkte leseren selv får den tiltenkte innholdet .* For eksempel ID, en økt utstedt til en klient blir brukt når det er gyldig eller til forlatte og utløpt. Dersom det serveres og leveres som svar på en ukryptert HTTP GET-forespørsel, er det ingen garanti for det vil bli fortært av riktig nettleser.

Ideelt SSL bør brukes på alle web-transaksjoner som krever konfidensialitet og personvern, inkludert de siste Google Dokumenter brudd.* På den annen side, er enda SSL ikke er idiotsikre. For eksempel er det mange webutviklere ikke riktig sette "Kryptert Sessions Only" cookie eiendom. Disse feilkonfigurert "sikre" servere vil sende HTTPS informasjonskapsler i åpent, ukryptert.

Det være drager ...


Merk: Reposted fra (ISC) 2 blogg. </ p>

Kilde ...