1

まず第一に、素朴な観点からの質問：

のような製品への URL を持つ WebApplication がありますProducts?id=123。からアクセスできる管理ページがあるとしProducts?id=123&editable=trueます。

誰もこのパラメーターを有効にしようとeditableしないため、このページを保護するためにこれ以上のセキュリティ メカニズムは必要ないと考える場合、それは obscurity によるセキュリティであり、良い考えではありません。

-

私の実際の問題では、もう少し微妙な問題です。私の管理 URL を誰かに知られることには危険がありますか? たとえば、XSL を使用しているときに、次のように書きたいと思います。

<xsl:if test="/webAlbums/mode/@admin">
    (compute edit link)
</xsl:if>

しかし、潜在的な攻撃者が「重要な」ページの弱点を見つけるのは簡単ではないでしょうか?

4

4 に答える 4

1

Daniel Miessler は、彼のブログで回答の別の要素を示しています。質問を書いたときに念頭に置いていたものの、定式化できなかったものです。

  • レイヤーとしての隠蔽性は、すでに優れた防御を備えたシステムを標的にすることをより困難にし、全体的なセキュリティ体制を改善します。
  • 隠蔽によるセキュリティとは、標的にされると、システムが無防備になることを意味します。つまり、そのセキュリティはすべて機密性によってもたらされます。

認証されていないクライアントから構成 URL を非表示にすると、標準の認証メカニズムに加えて、セキュリティのレイヤーが追加されます。

クラッカーがドアがどこにあるのかわからない場合、ドアを無理やり押し込もうとする可能性は低くなります。

SSHdポートを 24 に変更すると、ポート スキャナーが SSH サーバーを検出しますが、自動ブルート フォース スクリプトはデフォルトのサーバーのみを試行します。

結果？週末の後、ポート 22 で18,000回、ポート 24 で5 回の攻撃が行われました (比較できるように両方のポートを開いたままにしました)。

于 2014-11-20T08:36:58.360 に答える
1

あいまいさによるセキュリティは、ほとんどセキュリティではありません。それを頼りにしないでください。

実際のセキュリティを通じて、管理者ページを使用できないようにする認証システムを作成する必要があります。

管理 URL を知っている人については、管理ページが保護されていて、URL に機密データが表示されていない限り問題ありません (データ型の内部表現、一部のデータの内部 ID など)。 ）。

于 2010-10-24T07:13:35.593 に答える
0

あなたが提案しているのは、実際には不明瞭によるセキュリティではなく、実際には不明瞭な URL と呼ばれる完全に健全なセキュリティ手法であるため、実際には幸運です。

これを機能させるには、URL の一部を強力なパスワードと同じくらい推測しにくいものにする必要があります。その部分が正しくない限り、ページを編集できない限り、どこに含めるかは問題ではありません。

安全でない例:

Products?id=123&editable=true

安全な例:

Products?id=123&editable=true&edit-token=GgSkJSb6pvNT
Products?id=123&edit=GgSkJSb6pvNT
edit/GgSkJSb6pvNT/Products?id=123
GgSkJSb6pvNT/Products?id=123
于 2013-03-13T16:18:08.740 に答える
0

私は Web プログラミングを行っていないので、ここでは少し的外れかもしれませんが、考慮すべき点がいくつかあると思います。

  • 他の認証システムと同様に、HTTPS を使用せずに管理ページにアクセスすると、ページ要求 (有効な「パスワード」を含む) は平文で送信されます。

  • 他の設定をしない限り、ブラウザは管理ページの履歴とキャッシュを保持します。これにより、攻撃者やマシンを使用するすべての人が秘密の URL を利用できるようになります。

  • すべてのパスワードと同様に、秘密の URL が十分に単純であれば、ブルート フォース攻撃を受ける可能性が十分にあります。のようなもの&editable=trueは、安全だとは思いません。

しかし、適切に処理すれば、これは従来の認証システムと同じくらい安全です。

于 2013-03-13T16:40:56.303 に答える