Tim Bass
10-05-2008 03:41
Proxy cachar, i kombination med dåligt skrivna sessionshantering kod, leder lätt till allvarliga säkerhetsbrister som liknar det som vi poängterade i Ett nytt brott mot säkerheten i Google Docs Revealed.

Webbutvecklare har ingen kontroll över proxy cachar på Internet. Men utvecklarna har kontroll över koden skriver de och deras admin grupper har konfigurationskontroll av sina webbservrar. Utvecklare måste ta värsta fall Internet scenario med aggressiva Internet cache förvaltningsstrategierna att tjäna cachade data för ekonomisk och prestandaskäl.

Som en konsekvens av detta faktum-of-life på Internet ibland resulterar i flera web klienter skickas samma Set-Cookie HTTP headers, till exempel .* caching proxy-servrar ska få en ny cookie för varje ny kund begäran. Helst proxy cachar bör inte cache sessionshantering cookies och distribuera cachade cookies till flera klienter. Däremot kan applikationsutvecklare inte utgå från att proxy cachar är väluppfostrade, speciellt för tillämpningar där säkerhet och sekretess krävs.

Webbutvecklare kan inte veta om deras innehåll konsumeras direkt eller via en proxy cache. Utvecklare kan inte heller utgå från att HTTP-svar kommer att levereras till avsett webbläsaren. Dessutom kan utvecklarna inte vara säker på att den planerade webbläsaren ens får avsedd innehåll .* Exempelvis ID utfärdat en session till en kund får användas när den är giltig eller tills övergivna och upphörde att gälla. Om det serveras och levereras som svar på en okrypterad HTTP GET-begäran, det finns ingen garanti att det kommer att förbrukas av den avsedda webbläsare.

Idealet är att SSL ska användas på alla web transaktioner som kräver sekretess och integritet, inklusive vår senaste Google Docs strid.* Å andra sidan är även SSL inte idiotsäkert. Exempel, är det många webbutvecklare inte rätt ställd "Krypterade Sessions Only" cookie egendom. Dessa felkonfigurerad "säkra" servrar skickar HTTPS cookies i öppna, okrypterat.

Det finns drakar ...


Anmärkning: återuppfört från (ISC) 2 blog. </ p>

Källa ...