Apata Hofath | Bi o ṣe le ṣe aṣẹ aabo ailewu ninu ohun elo wẹẹbu rẹ

Nkan yii yoo wo pẹlu awọn ailagbara ti o mọ daradara. Awọn onkawe yoo tun kọ bi o ṣe le ṣe aṣẹ ailewu ati aabo ninu ohun elo oju-iwe wẹẹbu.

Oauut jẹ ilana ti o gbẹkẹle, ṣugbọn iwọn rẹ ti aabo da lori imọ-ẹrọ ti awọn Difelopa wẹẹbu nigba aṣẹ. Eyi jẹ ki akọle yii ṣe pataki fun awọn alamọdaju aabo aabo. Wọn nilo lati pese ipele ti aabo giga ti awọn akọọlẹ ti awọn olumulo wọn. O to akoko lati wa ni alabapade pẹlu awọn oṣere ti o munadoko ti yoo ṣe iranlọwọ lati dinku ewu ti o n ta oauth.

Ifihan

Oauut 2.0 Ilana n lo ni lilo pupọ ni ọpọlọpọ awọn ohun elo. Lilo, ni wiwo olumulo irọrun ti o wa, ijẹrisi rọrun ati iwe aṣẹ ni akawe si awọn ọna aṣa fun titẹ orukọ olumulo ati ọrọ igbaniwọle. Pẹlu imuse to tọ ati ironu ilana, Ilaasi Oauth yoo jẹ ailewu ju aṣẹ ti aṣa lọ, nitori awọn olumulo ko nilo lati pin data iṣiro wọn pẹlu olupilẹṣẹ-ẹnikẹta. Awọn olumulo nigbagbogbo fẹran lati wọle ni lilo awọn akọọlẹ Google, Facebook tabi Linked, Dipo, dipo ṣiṣẹda akọọlẹ tuntun ni gbogbo igba ti o nilo lati forukọsilẹ lori oju opo wẹẹbu diẹ. Nitorinaa, ilana ilana Oauth n loorekoore loorekoore loorekoore.

Ni gbogbogbo, awọn olupese iṣẹ Oauth olokiki Oauti gba igbẹkẹle pupọ. Wọle pẹlu Google tabi akọọlẹ Facebook mu iṣẹ aabo kan fun ọpọlọpọ kan, ati pe o pe. Ilana ni idanwo pẹlure nipasẹ awọn amoye. Gbogbo awọn ailagbara wa nigbagbogbo atunse nipasẹ ẹgbẹ Olùgbéejáde. Sibẹsibẹ, o tọ lati ṣe akiyesi pe rilara ti aabo pipe le jẹ eke.

Awọn olupese iṣẹ OautUurs fi awọn olupilẹṣẹ ohun elo pupọ lọpọlọpọ awọn idi pupọ lati di aabo awọn eto wọn. Ni otitọ, iṣẹ Ouvise lakoko ti o ba ṣetọju iṣẹ oueus wa, ti tunṣe ni ilana ti fifi sori rẹ, le di ibi-afẹde ti o rọrun fun awọn alagbaṣe. Iru ami pataki yoo ja si ole ti data ti ara ẹni ti awọn olumulo.

Ni atẹle, o yẹ ki o ronu awọn ailagbara ti o wọpọ julọ ti ifojusi ni awọn ohun elo ẹnikẹta ti o ṣe ilana ilana Oauth lati funṣẹ awọn olumulo wọn. O gbọdọ ranti pe Ilana funrararẹ jẹ ailewu ati igbẹkẹle. Nikan lẹhin imuse ti ko tọ, o di ipalara si awọn ikọlu elo.

OUTETETETETETSTERTERTERTERTERTERTER TI O NI IBI TI A NIPA

Nigbati ohun elo ba beere fun aṣẹ ni olumulo ni olupin Oauth, eniyan gba koodu naa lati tẹ ki o firanṣẹ pada si olupin fun ayẹwo atẹle rẹ. Ti o ba jẹ lakoko iṣẹ olumulo yoo dari si oju-iwe miiran, koodu naa yoo rii ninu "Olutọtọ" ti ibeere HTTTP. Nitorinaa, koodu naa yoo ṣubu sori oju opo wẹẹbu ita, eyiti yoo ṣe ifipamọ data olumulo lori olupin Oauth.

AKIYESI: Agbekale Alagbata jẹ akọsoto ibeere HTTPTSTSTTSTSTSTT, o ṣe afiweri URL lati inu eyiti a firanṣẹ ibeere naa.

Lati jẹ ki awọn abajade ti ailagbara yii, Olùgbéejáde gbọdọ rii daju pe ohun elo wẹẹbu rẹ ko ni awọn abẹrẹ HTML eyikeyi. Ti awọn abẹrẹ ba wa ni a rii pelu awọn iṣọrọ ṣeto aami aworan ni rọọrun si olupin olupin rẹ ki o wa ọna lati fi itanran olumulo lori rẹ. Nitorinaa, yoo ni aye lati ji koodu naa lati ọdọ awọn "alabẹrẹ" akọsori "ti ibeere HTTTP.

OUETETETETETETSETETETETETETETETETETRECECECECECECECpeCpercy

Ohun elo naa bẹrẹ ilana ilana aṣẹ nipasẹ fifiranṣẹ ibeere si olupin Oauth:

HTTPS://www.example.com/signin teeutivetosisiatustotiasiatustotisesitety.enttp_ru=tpps://demo.example.com/logiscil.com bẹrẹ.

Ibeere nigbagbogbo ni awọn "Atọka" PireMer ti Obile ti Oauth olupin lati fi awọn àmi pada si elo naa lẹhin ti olumulo n fun aṣẹ rẹ. Ti o ba jẹ pe idiyele paramita yii ko ni akojọ tabi ko ṣayẹwo, ẹniti o kọlu le yipada ati musẹ ibeere si oju opo wẹẹbu rẹ, ni kete ti o nlo awọn àmi ati ni iraye si awọn orisun to lopin.

https://www.example.com/signin tesititusiasiasiasiasiasiasiasiasitiasiaToms_ru=tpps://localhost.evil.com.

Nigba miiran awọn URLs ti o jọra ti dina. Olul ọdọ naa le ṣe daamu data ti o gba lori URL ti o ṣii, bii eyi:

HTTPS://www.example.com/oauth20_Aithyf_rument.rument.com.Gere.com/backtouthSubtausetTomSubtTebtausetttttttttttttttttttttttttttttTuset.

Tabi eyi:

https://www.example.com/aaaut2/aatuusize ?,]% Irect_ru = BTTPS% 3F% 2FPadbook.com% 2Fatpacker% 2F.

Nigbati imulo oauth, o le paapaa pẹlu awọn ibugbe gbogbo ninu atokọ funfun. Awọn URL diẹ nikan yẹ ki o ṣafikun si "Amputakeki_uri" ko ṣe atunṣe ibeere kan lati ṣii awọn àtúnjúwe.

Agbegbe ti awọn ibeere isalẹ-ila

Igbadun Iwifunni ti o jẹ ilana le waye nigbati olutaja ba ṣaṣeyọri ni ṣiṣe ẹniti o ṣẹgun lati tẹ lori ọna asopọ rẹ ati pe, lati ṣe afiwe ibeere kan pe oun ko lilọ lati se ina. Odaran ti awọn ibeere laini ti wa ni igbagbogbo jẹ rirọ pẹlu CSRF Terken, eyiti o ni nkan ṣe pẹlu igba olumulo. O ṣe iranlọwọ fun ohun elo lati ṣayẹwo eniyan ti eniyan ti o ran ibeere naa. Apaniyan "Ipinle" ni Ilana Oauuth Sin bi Terken CSRF.

O tọ lati wo bi ikọlu CSRF kọlu wa ni Oauth ati bi a le lo paramita "Ipinle" le ṣe alaye awọn ipa ti ailagbara.

Ede agbonaeburuwole ṣi ohun elo wẹẹbu kan ki o ṣe ifilọlẹ ilana aṣẹ lati wọle si olupese iṣẹ nipa lilo Oasiu. Ohun elo ti o beere fun olupese iṣẹ kan lati wọle si awọn iwulo lati pese. A yoo tun ṣe atunṣe oju opo wẹẹbu iṣẹ naa, nibi ti o ti nilo lati tẹ orukọ olumulo rẹ ati ọrọ igbaniwọle lati fun laṣẹ wọle si aṣẹ. Dipo, agbo naa mu ki o ṣe idiwọ ibeere yii ati gba url rẹ pamọ. Edeell bakan fa ki o jẹ ki olerisi yii. Ti olufaragba ba tẹ eto olupese iṣẹ nipa lilo akọọlẹ rẹ, lẹhinna awọn iwe-ẹri rẹ yoo lo lati fun koodu aṣẹ. Koodu aṣẹ naa paarọ iraye si Terken iraye. Bayi iwe agbo naa ninu ohun elo ti ni aṣẹ. O le wọle si akọọlẹ ti o ṣẹgun.

Nitorinaa, bawo ni MO ṣe le ṣe idiwọ ipo yii nipa lilo "ipinlẹ" ilu?

Ohun elo gbọdọ ṣẹda iye kan ti o da lori akọọlẹ orisun (fun apẹẹrẹ, lo bọtini orukọ igbale lọwọlọwọ). Ko ṣe pataki to ohun ti o jẹ, ohun akọkọ ni pe iye jẹ alailẹgbẹ ati ti ipilẹṣẹ lilo alaye ikọkọ nipa olumulo atilẹba. O ti wa ni sọtọ si "ipinle" ipinle.

Iye yii ni a n gbekalẹ si olupese iṣẹ nigbati o ba sisopọ. Bayi awọn agbo naa pe ẹniti o ni ẹniti o ṣii URL, eyiti o da duro.

Koodu aṣẹ naa ni oniṣowo ati firanṣẹ pada si ọdọ alabara ninu igba ipade naa pẹlu "ipinlẹ ti ipinle.

Kọọkan n ṣe idiyele idiyele ti o da lori alaye igba ati afiwe pẹlu iye "ipinle", eyiti a firanṣẹ pada lati ọdọ ibeere aṣẹ si olupese iṣẹ naa. Iye yii ko baamu ipo "ipinlẹ" ti ipinle ninu ibeere naa, nitori pe o ti ipilẹṣẹ nikan lori ipilẹ alaye nipa igba lọwọlọwọ. Bi abajade, iye ti a gba ko gba nipasẹ eto naa.

Awọn ailagbara miiran ti a rii nigba lilo oaut pẹlu agbara lati ṣe awọn XSS (Ikọwe Aye) Koodu aṣẹ le ṣee lo diẹ sii ju ẹẹkan lọ lati fun awọn ọrọ wọle si ọpọlọpọ awọn owo si). Awọn ailagbara wọnyi ko wọpọ ju ti a salaye loke, ṣugbọn ko jẹ ki wọn nira. Olùgbéejáde yẹ ki o mọ gbogbo awọn iṣe pataki lati rii daju iṣẹ igbẹkẹle ti ohun elo wẹẹbu rẹ.

Onkọwe itumọ ọrọ naa: Simon Saliba.

Pataki! Alaye nikan fun awọn idi ile-ẹkọ. Jọwọ ni ibamu pẹlu ofin ki o ma ṣe lo alaye yii fun awọn idi arufin.

Awọn ohun elo ti o nifẹ si lori cisclub.ru. Alabapin si wa: Facebook | Va | Twitter | Instagram | Telegram | Zen | Ojiṣẹ | ICQ tuntun | YouTube | Polusi.