Articles of segurança

É possível colocar dados de imagens binárias em marcação html e, em seguida, obter a imagem exibida como de costume em qualquer navegador?

É um problema de segurança importante e tenho certeza de que isso deveria ser possível. Um exemplo simples: Você administra um portal da comunidade. Os usuários são registrados e enviam suas fotos. Seu aplicativo fornece regras de segurança sempre que uma imagem puder ser exibida. Por exemplo, os usuários devem ser amigos em ambos os […]

Permitindo que o Java use um certificado não confiável para conexão SSL / HTTPS

Eu tenho trabalhado em um programa para extrair informações de um aplicativo da web dynamic, e o programa funcionou bem até que eu configurei meu servidor tomcat para usar o SSL usando um certificado auto-assinado (assim, não confiável). O rastreamento de pilha do erro é: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find […]

O JSON Hijacking ainda é um problema nos navegadores modernos?

Eu estou usando Backbone.js e o servidor web Tornado. O comportamento padrão para receber dados de coleta no Backbone é enviar como uma matriz JSON. Por outro lado, o comportamento padrão do Tornado é não permitir o JSON Array devido à seguinte vulnerabilidade: http://haacked.com/archive/2008/11/20/anatomy-of-a-subtle-json-vulnerability.aspx Um relacionado é: http://haacked.com/archive/2009/06/25/json-hijacking.aspx Parece mais natural não ter que envolver […]

Remover header de resposta do servidor IIS7

Existe alguma maneira de remover o header de resposta “Servidor” do IIS7? Existem alguns artigos mostrando que usando o HttpModules podemos conseguir a mesma coisa. Isso será útil se não tivermos direito de administrador ao servidor. Também não quero escrever o filtro ISAPI. Eu tenho direitos de administrador para o meu servidor. Então eu não […]

O armazenamento local pode ser considerado seguro?

Eu sou obrigado a desenvolver um aplicativo da web que funcionará offline por longos períodos. Para que isso seja viável, não posso evitar salvar dados confidenciais (dados pessoais, mas não o tipo de dados que você armazenaria somente hash) no armazenamento local. Eu aceito que isso não é uma prática recomendada, mas dada pouca escolha, […]

Onde você armazena suas cordas de sal?

Eu sempre usei uma string de sal por input adequada ao hashing de senhas para armazenamento de database. Para minhas necessidades, armazenar o sal no database ao lado da senha com hash sempre funcionou bem. No entanto, algumas pessoas recomendam que o sal seja armazenado separadamente do database. O argumento deles é que, se o […]

Por que as pessoas colocam códigos como “throw 1; “e” para (;;); “na frente de respostas json?

Duplicar Possível: Por que o Google precede enquanto (1); às suas respostas JSON? O Google retorna json assim: throw 1; { foo: bar} e Facebooks ajax tem json assim: for(;;); {“error”:0,”errorSummary”: “”} Por que eles colocam código que iria parar a execução e torna o json inválido? Como eles analisam se é inválido e falhariam […]

Usando o openssl para obter o certificado de um servidor

Eu estou tentando obter o certificado de um servidor remoto, que eu posso usar para adicionar ao meu keystore e usar dentro do meu aplicativo java. Um dev sênior (que está de férias :() me informou que eu posso executar isso: openssl s_client -connect host.host:9999 Para obter um certificado bruto descartado, o qual eu posso […]

Como os certificados ssl são verificados?

Qual é a série de etapas necessárias para verificar com segurança um certificado SSL? Meu (muito limitado) entendimento é que quando você visita um site https, o servidor envia um certificado para o cliente (o navegador) e o navegador obtém as informações do emissor do certificado desse certificado, então usa isso para contatar o emissor […]

Quais são os riscos de segurança de configurar o Access-Control-Allow-Origin?

Recentemente, tive que configurar Access-Control-Allow-Origin como * para poder fazer chamadas de ajax entre subdomínios. Agora não posso deixar de sentir que estou colocando meu ambiente em riscos de segurança. Por favor me ajude se eu estou fazendo errado.