Global-id i AccessReferenceMap
W ramach OWASP istnieje projekt OWASP Enterprise Security API. W ramach tego projektu istnieje interfejs AccessReferenceMap, który implementowany jest przez dwie klasy IntegerAccessReferenceMap oraz RandomAccessReferenceMap. Koncepcja tego interfejsu jest prosta:
The AccessReferenceMap interface is used to map from a set of internal direct object references to a set of indirect references that are safe to disclose publicly. This can be used to help protect database keys, filenames, and other types of direct object references. As a rule, developers should not expose their direct object references as it enables attackers to attempt to manipulate them.
Teoretycznie mój PoC związany z kodowaniem identyfikatorów globalnych można zrealizować jako implementację tego interfejsu. Do pewnego stopnia działanie tej hipotetycznej implementacji zbliżone byłoby do RandomAccessReferenceMap.
Oryginał tego wpisu dostępny jest pod adresem Global-id i AccessReferenceMap
Autor: Paweł Goleń