Proxy caches, combinados com sessões mal escrito gestão código, pode facilmente conduzir a graves problemas de segurança semelhante ao que temos destacado em Um novo Violação de Segurança no Google Docs Revelado.

Web desenvolvedores não têm controle sobre proxy caches na Internet. No entanto, os programadores têm controle do código que escrevem e as suas equipas têm admin configuração do controle de sua servidores web. Os desenvolvedores devem assumir o caso pior cenário Internet Internet cache agressivo com políticas de gestão que servem os dados em cache para o desempenho económico e razões.

Este fato da vida na Internet os resultados na web clientes recebendo o conteúdo que pode resultar em vários clientes da Web a ser enviada ao mesmo Set-Cookie HTTP cabeçalhos, por exemplo. Cashing servidores proxy deverá obter um novo "cookie" para cada novo cliente o pedido. Idealmente, não deverá proxy caches cache sessão gestão cookies e distribuir em cache cookies para vários clientes. No entanto, a aplicação desenvolvedores não pode assumir esse proxy caches são bem comportados, principalmente para aplicações onde a segurança e privacidade são necessárias.

Desenvolvedores da Web podem não saber se o seu conteúdo é consumido directamente ou através de um proxy cache. Os desenvolvedores também não podemos assumir que o HTTP respostas serão entregues ao destinados navegador. Além disso, os promotores não podem ter a certeza que o mesmo receba o navegador destinados conteúdo. Por exemplo, uma sessão ID emitida para um cliente recebe utilizada enquanto ele é válido ou até abandonado e vencido. Se ele é servido e entregue em resposta a uma solicitação HTTP GET não criptografada, não há nenhuma garantia de que serão consumidos pela destinados navegador.

Idealmente, o SSL deve ser usado em todas as operações na web que exigem confidencialidade e privacidade, incluindo a nossa recente Google Docs violação. Por outro lado, mesmo a SSL não é infalível. Por exemplo, muitos desenvolvedores web não corrigirem o conjunto "Só Encriptados Sessions" cookie propriedade. Estes incorrectamente configurado "segura" servidores irão enviar cookies HTTPS em aberto, não criptografada.

Haver dragões ... ..





Leia mais ...