Paweł Goleń, blog

Zdecydowanie warto przeczytać: The Security Impact of HTTP Caching Headers. Temat nie jest nowy, jednak wciąż sytuacja w tym zakresie wygląda słabo. Bardzo często można natknąć się na dwie skrajne sytuacje:

  • możliwe jest użycie cache dla “prywatnych” danych,
  • cache nie jest używany nawet dla statycznych treści,

Obie skrajności są złe, w pierwszym przypadku pojawia się problem z poufnością informacji. Treść, która w teorii powinna być dostępna tylko dla konkretnego użytkownika, może zostać zapisana w wielu, bliżej nieokreślonych miejscach. Drugi scenariusz z kolei jest uciążliwy pod względem wykorzystania zasobów – wielokrotne pobieranie tych samych treści kosztuje nie tylko przepustowość, ale również czas.

Dla zwykłego użytkownika sam fakt wielokrotnego pobrania tych samych danych może być nieistotny. Istotny za to będzie wydłużony czas ładowania strony – to coś, co taki zwykły użytkownik jest w stanie zauważyć.

Na koniec – przypominam, że jakiś czas temu przygotowałem stronę, na której z tymi nagłówkami można sobie poeksperymentować.

Oryginał tego wpisu dostępny jest pod adresem Do poczytania: The Security Impact of HTTP Caching Headers

Autor: Paweł Goleń

Do poczytania: A roster of TLS cipher suites weaknesses. Ciekawy zbiór aktualnych informacji odnośnie tego co obecnie w TLS jest, a co nie jest bezpieczne.

Oryginał tego wpisu dostępny jest pod adresem Do poczytania: A roster of TLS cipher suites weaknesses

Autor: Paweł Goleń

Tak jak zapowiadałem, byłem na kolejnej edycji Security B-Sides w Warszawie. Wrażenia? Mieszane.

Czytaj dalej...

Ostatnio wspominałem, że jeden z moich laptopów zachowuje się dziwnie. Podejrzewałem nawet jakiś problem sprzętowy. Być może udało mi się nawet go zidentyfikować – karta SD. Konkretnie karta, którą używałem do ReadyBoost. Po wyłączeniu tej funkcji system odzyskał stabilność.

Już kiedyś widziałem kartę, z której system odczytywał coś innego, niż na nią zapisywał. Nawet to nie była kwestia karty, tylko przejściówki. Jeśli znajdę czas, może przeprowadzę kilka testów czy takie zachowanie uda się zaobserwować i tym razem. Jedyne co mnie dziwi, to fakt, że ta karta w tej roli sprawowała się dobrze przez długi czas. Może za długi?

Oryginał tego wpisu dostępny jest pod adresem Czyżby TO było problemem sprzętowym?

Autor: Paweł Goleń

Na jednym laptopie mam już Windows 8.1, z drugim wciąż walczę. Bardzo nie podoba mi się jego zachowanie (tego drugiego laptopa), bo zaczynam nabierać podejrzeń, że jest jakiś bliżej nieokreślony problem sprzętowy z nim. Mam ku temu kilka przesłanek, ale wciąż nie mam konkretnych dowodów...

A sam Windows 8.1? Za krótko z niego korzystam, by widzieć wielkie różnice w stosunku do Windows 8. Trochę nie podobają mi się zmiany w wyszukiwaniu, ale z drugiej strony można się do tego przyzwyczaić. Pod spodem zmian więcej, ale nie bardzo są widoczne w tym zakresie, w jakim korzystam z systemu.

Oryginał tego wpisu dostępny jest pod adresem Windows 8.1

Autor: Paweł Goleń

Jeśli ktoś przeoczył lub zapomniał to przypominam, że w dniach 18-20 października odbędzie się druga edycja Security BSides. Ponownie w Warszawie, ponownie Gmach Starej Kotłowni.

Ubiegłoroczną edycję wspominam bardzo dobrze, w tym roku również się wybieram i mam nadzieję na równie pozytywne wrażenia, jak przed rokiem.

Oryginał tego wpisu dostępny jest pod adresem BSidesWarsaw

Autor: Paweł Goleń

Jak pewnie wiecie mój stosunek do różnych certyfikacji jest trochę zdystansowany. Dość często prawidłowa odpowiedź w teście rozmija się nieco z praktyką. Paradoksalnie w takich przypadkach lepiej wiedzieć mniej , bo odpowiada się wówczas z oczekiwaniami autorów testów. Często można również zastosować zdrowy rozsądek i wybrać odpowiedź najmniej błędną (co oficjalnie nazywa się “najbardziej pasującą”). Są jednak również takie pytania, z którymi jest dokładnie tak, jak z tym nieszczęsnym kotem Schrodingera. W zasadzie nie wiadomo, czy odpowiedź jest prawidłowa do czasu, aż się ją sprawdzi.

Czytaj dalej...

Załóżmy następujący scenariusz – mamy kilka komputerów, które z jakiegoś powodu chcemy połączyć kablami. Jedyny switch/hub jaki jest pod ręką to stary AP leżący gdzieś w pudełku. Tak się składa, że za dawnych czasów była skonfigurowana na nim sieć wifi (WEP). Czy teraz ktoś może łatwo włamać się do sieci wifi skoro żaden klient z niej nie korzysta?

Odpowiedź brzmi – tak. Ale dokładnie w jaki sposób można to zrobić? Dlaczego jest to możliwe?

Oryginał tego wpisu dostępny jest pod adresem Łamanie WEP bez klientów – zagadka

Autor: Paweł Goleń

Uprzejmie informuję, że nie jestem zainteresowany publikowaniem podsyłanych informacji prasowych będących w rzeczywistości niczym innym, jak nieudolnie zakamuflowaną reklamą firm i ich produktów.

Poza tym nadmienię, że podejście polegające na wysyłaniu tego typu materiałów bez jakiegokolwiek wcześniejszego kontaktu i zapytania, czy taką korespondencją jestem zainteresowany, odbieram jako zachowanie natarczywe by nie powiedzieć – chamskie. W zasadzie nie ma dla mnie różnicy między naruszeniem mojego dystansu indywidualnego, a takim postępowaniem. Nadmienię też, że instynkt terytorialny mam dość silnie rozwinięty, w związku z czym tego typu zachowania budzą we mnie coś więcej, niż lekką irytację.

Dziękuję za uwagę.

P.S. I zgadnijcie co znalazłem dzisiaj w skrzynce... Tak, kolejną informację prasową.

Oryginał tego wpisu dostępny jest pod adresem Do pijarowców i innych cyfrowych stratedżistów

Autor: Paweł Goleń

Jeśli w trakcie twojej wypowiedzi na temat Arac hji lub dyskusji na temat wyższości Fishdick nad Fishdick Zwei otoczenie patrzy się na ciebe tępym wzrokiem, wiedz, że coś się dzieje...

P.S. A o Nimdę, to nawet nie pytam. Nie dość, że stara, to jeszcze niszowa.

Oryginał tego wpisu dostępny jest pod adresem I'm old

Autor: Paweł Goleń