r - HTTP URL 経由でコードを実行するのは安全ではありませんか?

Question

バイオコンダクタのインストールメカニズムが疑わしい。source()HTTP URL から R スクリプトを(経由で) 実行しているように見えます。これは、中間者攻撃に対して脆弱な安全でないアプローチではありませんか? HTTPS を使用する必要があると思います。そうでない場合、誰かが現在のアプローチが受け入れられる理由を説明できますか?

Answer 1

はい。それで合っています。

クリアテキスト接続を介した実行可能コードのロードは、MITM に対して脆弱です。

SSL/TLS を使用して接続を暗号化および認証できる HTTPS 経由でロードされない限り、またはクライアントでコードが署名および検証されていない限り、MITM 攻撃者は入力ストリームを変更し、システム上で任意のコードを実行する可能性があります。

Answer 2

コードを HTTPGETリクエスト経由で実行できるようにするということは、基本的に、ユーザー入力をアプリケーションで直接処理できるようにして、アプリケーションの動作に直接影響を与えることを意味します。これは多くの場合、開発者が望んでいることですが (たとえば、データベースから特定の情報を照会するなど)、既に述べたように悪用される可能性があります (例: MITM)。これは多くの場合 (ただし、Bioconductor について直接言及しているわけではありません)、システムを XSS/(B)SQLi 攻撃の可能性にさらす可能性があるため、悪い考えです。

ただし、URL - http://bioconductor.org/biocLite.Rは基本的に Web サーバーに配置された単なるファイルであり、そこsource()から直接ダウンロードするために使用されているようです。この例のどこにもユーザー入力がないように見えるので、いいえ、安全ではないとマークしません。しかし、あなたの類推は確かに正しいです。

注: これは単に GET リクエストを参照しているだけです - 例: http://example.com/artists/artist.php?id=1. このような不確実性は、ホスト ヘッダー攻撃などの多くの HTTP 要求で悪用される可能性がありますが、一般的な概念は同じです。ユーザー入力は、アプリケーションによって直接処理されるべきではありません。