SEOSERVISE - Защита информации.

 
   
 

Главная


 


Скрытые поля Для передачи информации между броузером и Web -сервером могут использоваться также скрытые поля HTML -форм. Преимущество скрытых полей заключается в том, что их можно использовать даже после полного отключения механизма cookie . Однако оба метода передачи информации связаны с опасностью подмены инфор­ мации. При работе с Web -приложением можно изменить как данные cookie , так и значения скрытых полей. Именно поэтому очень важно продумать и реализовать ме­ ханизмы отслеживания сеансов и использования идентификаторов сеансов. Реализация механизмов отслеживания сеансов и сохранения состояний Перехват сеанса возможен в тот момент, когда Web -приложение оказывается пол­ ностью зависимым от обработки информации о сеансах и состояниях в клиентской части. В некоторых случаях подмену идентификаторов можно выполнить, даже не­ смотря на реализацию механизма отслеживания сеансов в серверной части. В рас­ смотренной выше атаке Боб легко подменил идентификатор сеанса, выполнив обрат­ ное проектирование. Если для исследования идентификаторов сеансов выполнялось несколько предварительных атак, то последующий перехват сеанса может оказаться гораздо проще. Поэтому реализации адекватных методов отслеживания сеансов и со­ хранения состояний необходимо уделять самое пристальное внимание. Основываясь на опыте, приобретенном в процессе тестирования защищенности Web -приложений, авторы сформулировали ряд правил реализации механизма под­ держки сеансов и отслеживания состояний. Эти правила ни в коей мере не являются исчерпывающими или применимыми ко всем Web -приложениям. Скорее, их нужно рассматривать как рекомендации, которыми следует руководствоваться при разработке механизмов отслеживания сеансов и состояний. Идентификаторы сеансов должны быть уникальными В каждом Web -приложении между броузером и Web -сервером должен устанавли­ ваться логический сеанс взаимодействия. Именно для этого между броузером и серве­ром должна курсировать строка или последовательность данных, называемая иденти­фикатором сеанса. Желательно, чтобы каждый пользовательский сеанс можно было распознать по уникальному идентификатору, который не использовался бы повторно в других сеансах. Даже если один и тот же пользователь регистрируется в системе по­ вторно, для него должен генерироваться новый идентификатор сеанса. Идентификаторы сеансов должны быть сложными Наиболее простой способ выявления "слабых" идентификаторов заключается в быстром создании множества сеансов или многократном их создании/разрушении в течение короткого периода времени. Идентификаторы сеансов, которые последова­ тельно увеличиваются, используют временные метки или основаны на каком-либо другом шаблоне, должны вызывать большое беспокойство. Такие идентификаторы се ансов плохо защищены от последовательности предварительных атак, на основе кото­ рых взломщик сможет перехватить сеанс, успешно сгенерировав идентификаторы се­ ансов, совпадающие с идентификаторами текущих пользователей приложения. Случайные идентификаторы сеансов можно сгенерировать на основе случайного числа, текущего времени и какого-либо специального числа. На основе этих данных можно сгенерировать хэш-код, который и будет использоваться в качестве идентифи­ катора сеанса. Вероятность совпадения хэш-кодов довольно низка, так что с их по­мощью успех предварительных атак можно свести практически к нулю

 

 

 

 

 

 
 

1 |2 |3 |4 |5 |6 |7 |8 |9 |10 |11 |12 |13 |14 |15 |16 |17 |18 |19 |20 |21 |22 |23 |24 |25 |26 |27 |28 |29 |30 |31 |32 |33 |34 |35 |36 |37 |38 |39 |40 |41 |42 |43 |44 |45 |46 |47 |48 |49 |50 |51 |52 |53 |54 |55 |56 |57 |58 |59 |60 |61 |62 |63 |64 |65 |66 |67 |68 |69 |70 |71 |72 |73 |74 |75 |76 |77 |78 |79 |80 |81 |82 |83 |84 |85 |86 |87 |88 |89 |90 |91 |92 |93 |94 |95 |96 |97 |98 |99 |100 |