Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Sicherheitslücke: Caches von CDN…

Wo ist nun die Sicherheitslücke...

  1. Thema

Neues Thema Ansicht wechseln


  1. Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 19:47

    ...in den Caches der CDN Anbieter?

    Aber nichts neues bei Artikeln des Autors...

  2. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 20:01

    die erste annahme ist:
    https://www.example.com/account/invalid.css und https://www.example.com/account/ liefern das gleiche ergebnis, da die webanwendung am server nicht zwischen den urls unterscheidet, obwohl sie es tun sollte.

    zweite annahme:
    der angreifer verleitet das opfer statt https://www.example.com/account https://www.example.com/account/invalid.css aufzurufen.

    dritte annahme:
    es wird unter https://www.example.com/account/invalid.css der inhalt von https://www.example.com/account/ gecacht. zb information über den account.

    vierte annahme:
    der angreifer ruft jetzt https://www.example.com/account/invalid.css auf und bekommt diese daten geliefert.

    jetzt klar?

  3. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 20:05

    Artikel:
    Sicherheitslücke: Caches von CDN-Netzwerken führen zu Datenleck

    Alles von dir beschriebene ist keine Sicherheitslücke in den Caches der CDN Netzwerke die tun genau das was sie sollen.

    Jetzt klar? ;-)

  4. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 20:22

    doch. sie cachen etwas, was nicht gecacht werden sollte.

    erzeugt eine webseite bei https://www.example.com/account/invalid.css statt css code html webseiten mit sensitiven daten, schreibt sie trotzdem die richtigen cache header. mittlerweile tun das alle frameworks richtig. die cdn ignorieren diese aber und cachen trotzdem.

  5. Re: Wo ist nun die Sicherheitslücke...

    Autor: Technik Schaf 27.07.17 - 20:38

    MysticaX schrieb:
    --------------------------------------------------------------------------------
    > Artikel:
    > Sicherheitslücke: Caches von CDN-Netzwerken führen zu Datenleck
    >
    > Alles von dir beschriebene ist keine Sicherheitslücke in den Caches der CDN
    > Netzwerke die tun genau das was sie sollen.
    >
    nein, sie tun nicht was sie tun sollen. Die Anforderung ist:
    > sei ein Zwischenspeicher für nicht individuelle Daten.
    Sie speichern aber auch sensible Daten. - > Aufgabe nicht erfüllt!

    nach deiner Logik gäbe es keine Sicherheits Lücken in Software. software acht immer das was sie soll, sprich: wie sie programmiert/konfiguriert ist. Sie ist deterministisch.
    der Fehler liegt so gesehen immer beim Programmierer.
    trotzdem spricht man von Sicherheitslücken in der Software.
    > Jetzt klar? ;-)
    jetzt klar?

  6. Re: Wo ist nun die Sicherheitslücke...

    Autor: Geddo2k 27.07.17 - 22:14

    grundsätzlich sollten die cdns den cache header respektieren das stimmt. aber auf der anderen seite definiere ich doch sehr genau was ins cdn kommt und was nicht und pfade in denen sicherheitsrelevante inhalte liegen haben im cdn nichts verloren bzw. nimmt man i.d.r. ja auch nur den pfad der öffentlichen assets mit ins cdn und verweigert alles andere.

  7. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 22:53

    Technik Schaf schrieb:
    --------------------------------------------------------------------------------
    > MysticaX schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Artikel:
    > > Sicherheitslücke: Caches von CDN-Netzwerken führen zu Datenleck
    > >
    > > Alles von dir beschriebene ist keine Sicherheitslücke in den Caches der
    > CDN
    > > Netzwerke die tun genau das was sie sollen.
    > >
    > nein, sie tun nicht was sie tun sollen. Die Anforderung ist:
    > > sei ein Zwischenspeicher für nicht individuelle Daten.
    > Sie speichern aber auch sensible Daten. - > Aufgabe nicht erfüllt!
    >
    > nach deiner Logik gäbe es keine Sicherheits Lücken in Software. software
    > acht immer das was sie soll, sprich: wie sie programmiert/konfiguriert ist.
    > Sie ist deterministisch.
    > der Fehler liegt so gesehen immer beim Programmierer.
    > trotzdem spricht man von Sicherheitslücken in der Software.
    > > Jetzt klar? ;-)
    > jetzt klar?

    Nö, es geht darum das der Titel suggeriert die Lücke wäre der Cache von den CDN's, die Lücke ist aber nicht dort, wenn der Server dahinter Sachen ausliefert die er nicht sollte, ist dort die Lücke nicht im Cache eines CDN.

  8. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 28.07.17 - 01:12

    siehe dazu mein posting noch mal. der server sagt dem cdn per header, dass es nicht gecacht werden soll. das cdn tut es trotzdem. das ist falsches verhalten der cdns. das es nicht _nur_ an den cdns liegt, ist wohl richtig. aber eben auch.

  9. Re: Wo ist nun die Sicherheitslücke...

    Autor: tbone 28.07.17 - 10:02

    MysticaX schrieb:
    --------------------------------------------------------------------------------
    > Nö, es geht darum das der Titel suggeriert die Lücke wäre der Cache von den
    > CDN's, die Lücke ist aber nicht dort, wenn der Server dahinter Sachen
    > ausliefert die er nicht sollte, ist dort die Lücke nicht im Cache eines
    > CDN.

    doch die Lücke ist zumindest teilweise im CDN, da dort Cache Header ignoriert werden und html gecached wird, nur weil die url mit css endet.

    der backend server kann vielleicht aus legacy gründen nicht einfach url enden unterbinden.

  10. Re: Wo ist nun die Sicherheitslücke...

    Autor: SCF 28.07.17 - 11:29

    Es ist eben eine Kombination aus beidem. Würde der Server die URL richtig prüfen wäre alles gut und es könnte nichts gecached werden, was nicht gecached werden sollte. Das CDN ist an der Stelle "dumm", Request kam für URL, Server gab Antwort, also wird für diesen Request diese Antwort gecached. Gut den Header prüfen wäre cool, aber wahrscheinlich machen die das eben nicht weil sonst das schöne Caching nicht so gut laufen würde, eventuell auch weil viele Seiten diese Header nicht korrekt setzen.
    Würde es das CDN dazwischen nicht geben würde der Angriff auch nicht funktionieren, es sei denn der Server bzw. die Server-Infrastruktur hat selber einen Cache mit genau dem gleichen problematischen Verhalten.

  11. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 28.07.17 - 12:17

    > Das CDN ist an der Stelle "dumm", Request kam für
    > URL, Server gab Antwort, also wird für diesen Request diese Antwort
    > gecached. Gut den Header prüfen wäre cool,
    nicht dumm und header prüfen ist nicht nur cool. das verhalten ist definitiv absolut falsch. da gibt's nichts zu rütteln oder anders zu interpretieren.

    > aber wahrscheinlich machen die
    > das eben nicht weil sonst das schöne Caching nicht so gut laufen würde,
    > eventuell auch weil viele Seiten diese Header nicht korrekt setzen.
    das verhalten ist komplett falsch. webseiten mit logins zu cachen ist fast immer ein fehler. ich kann die private webseite eines benutzers cachen, nur damit schön gecacht ist.

    > Würde es das CDN dazwischen nicht geben würde der Angriff auch nicht
    > funktionieren, es sei denn der Server bzw. die Server-Infrastruktur hat
    > selber einen Cache mit genau dem gleichen problematischen Verhalten.
    die meiste standardsoftware (z.b. varnish) ignoriert die header aber nicht (in den default einstellungen).

    das verhalten der cdns ist falsch. nur weil zwei seiten was falsch machen, heißt das nicht, dass das verhalten des einen deshalb plötzlich richtig wird.

  12. Re: Wo ist nun die Sicherheitslücke...

    Autor: schauma 28.07.17 - 17:22

    IMHO
    Die Sicherheitslücke liegt im Verhalten des Webservers. Er erstellt aus einer Session-abhängigen Information eine Session-unabhängige Information. Die Entscheidung was zwischen Nutzer und Server durch x-beliebige Systeme( auch CDN) gecacht wird, darf für die Sicherheit der Nutzer nicht relevant sein.

    Ein Seitenbetreiber kann ja nicht für alle Cachingdienste auf dem Weg garantie geben, dass diese richtig konfiguriert sind. Als Beispiel können wir hier Caching Proxies nehmen, die Firmen bei dem Aufbrechen von SSL -In manchen Branchen üblich- verwenden.

    Betrachten wir den Datenfluss ist auch klar, dass die Server-Response gecacht wird. Als das, was vom Server auf dem Rückweg gespeichert wird. Der Webserver kann also das Antworten auf nicht existente Dateien unterbinden.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Thyssengas GmbH, Dortmund
  2. Bosch Gruppe, Kusterdingen
  3. über duerenhoff GmbH, Raum Hamburg
  4. embitel GmbH, Stuttgart

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote


Haben wir etwas übersehen?

E-Mail an news@golem.de


Varjo VR-Headset im Hands on: Schärfer geht Virtual Reality kaum
Varjo VR-Headset im Hands on
Schärfer geht Virtual Reality kaum

Das VR-Headset mit dem scharfen Sichtfeld ist fertig: Das Varjo VR-1 hat ein hochauflösendes zweites Display, das ins Blickzentrum des Nutzers gespiegelt wird. Zwar sind nicht alle geplanten Funktionen rechtzeitig fertig geworden, die erreichte Bildschärfe und das Eyetracking sind aber beeindruckend - wie auch der Preis.
Ein Hands on von Tobias Költzsch

  1. Und täglich grüßt das Murmeltier Sony bringt VR-Spiel zu Kultfilm mit Bill Murray
  2. Steam Hardware Virtual Reality wächst langsam - aber stetig
  3. AntVR Stirnband soll Motion Sickness in VR verhindern

Carsharing: Regierung will Mobilitätsdienste per Gesetz stärken
Carsharing
Regierung will Mobilitätsdienste per Gesetz stärken

Die digitalen Plattformen für Carsharing und Carpooling sollen Rechtssicherheit bekommen. BMW, Daimler und VW sowie Uber & Co. stehen in den Startlöchern.
Ein Bericht von Daniel Delhaes und Markus Fasse

  1. Lobbyregister EU-Parlament verordnet sich mehr Transparenz
  2. Contract for the web Bundesregierung unterstützt Rechtsanspruch auf Internet
  3. Initiative D21 E-Government-Nutzung in Deutschland ist rückläufig

Honor Magic 2 im Test: Die Smartphone-Revolution ist aufgeschoben
Honor Magic 2 im Test
Die Smartphone-Revolution ist aufgeschoben

Ein Smartphone, dessen vordere Seite vollständig vom Display ausgefüllt wird: Diesem Ideal kommt Honor mit dem Magic 2 schon ziemlich nahe. Nicht mit Magie, sondern mit Hilfe eines Slider-Mechanismus. Honor verschenkt beim Magic 2 aber viel Potenzial, wie der Test zeigt.
Ein Test von Tobias Czullay

  1. Honor Neues Magic 2 mit Slider und ohne Notch vorgestellt
  2. Huawei Neues Honor 8X kostet 250 Euro
  3. Honor 10 vs. Oneplus 6 Oberklasse ab 400 Euro

  1. 4G: Vodafone schlägt Allianz gegen Funklöcher vor
    4G
    Vodafone schlägt Allianz gegen Funklöcher vor

    Vodafone Deutschland will zusammen mit der Telekom und Telefónica alle Funklöcher mit gemeinsamen Ausbau schließen. Bei 5G will Vodafone keinen Ausschluss von Huawei, sondern härtere Kontrollen für alle.

  2. Mercedes-Benz: Daimlers neues Elektroauto EQC verzögert sich
    Mercedes-Benz
    Daimlers neues Elektroauto EQC verzögert sich

    Die Auslieferung des EQC, des ersten vollelektrischen Mercedes Benz neuer Generation, wird wohl nicht plangemäß verlaufen. Die Serienproduktion soll erst im November 2019 möglich sein. Vorher gibt es nur homöopathische Mengen.

  3. Glücksspiel: US-Handelskommission hält Workshop zu Lootboxen ab
    Glücksspiel
    US-Handelskommission hält Workshop zu Lootboxen ab

    In vielen europäischen Ländern werden Lootboxen klar als Glücksspiel eingeordnet. Neben Deutschland sind aber auch die USA weniger strikt im Umgang mit den Kisten. Deshalb will die Kommission FTC verschiedene Gruppen in einem Workshop zusammenbringen, um das weitere Vorgehen zu diskutieren.


  1. 20:20

  2. 14:45

  3. 14:13

  4. 13:37

  5. 12:41

  6. 09:02

  7. 19:03

  8. 18:45