Dziś wpis na nietypowy temat - aplikacje na Androida. A konkretnie odrobina o ich bezpieczeństwie.
Ciąg dalszy "Ściany mają uszy (i potrafią mówić)" »Sunday, November 25. 2012
Wednesday, November 21. 2012
Dać małpie brzytwę
Michał Zalewski w książce The Tangled Web zawarł następującą myśl:
The only reasonable approach to tag sanitization is to employ a realistic parser to translate the input document into a hierarchical in-memory document tree, and then scrub this representation for all unrecognized tags and parameters, as well as any undesirable tag/parameter/value configurations.
Niestety, często programiści myślą, że są w stanie oczyszczać HTML łatwiej. I wciąż pokutuje tutaj podejście oparte na blackliście niedopuszczalnych tagów/atrybutów/zdarzeń. Takie podejście to proszenie się o kłopoty.
Ciąg dalszy "Dać małpie brzytwę" »Monday, November 12. 2012
Limitowanie klienta
Częstym problemem jest zabezpieczenie aplikacji/systemu przed klientem, który chce z tego systemu, lub jakiejś jego funkcji, korzystać zbyt często. Potrzeba takiego ograniczenia może wynikać z różnych przyczyn. Może to być na przykład zabezpieczenie przed masową enumeracją danych, ale równie dobrze powód może być bardziej trywialny - ochrona przed wyczerpaniem zasobów. Może byc na przykład tak, że "zwykłe" wyszukiwanie jest kosztowne dla serwera i złośliwy klient może wykorzystać ten fakt do wykonania ataku DoS.
Jak się przed taką sytuacją bronić? Jednym z pomysłów może być uczynienie wywołania takiej metody dużo bardziej kosztownym dla klienta, niż jej obsługa dla serwera. W jaki sposób to zrobić? Na przykład wykorzystując kryptografię.
Ciąg dalszy "Limitowanie klienta" »