Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Sicherheitslücke: Caches von CDN…

Wo ist nun die Sicherheitslücke...

  1. Thema

Neues Thema Ansicht wechseln


  1. Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 19:47

    ...in den Caches der CDN Anbieter?

    Aber nichts neues bei Artikeln des Autors...

  2. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 20:01

    die erste annahme ist:
    https://www.example.com/account/invalid.css und https://www.example.com/account/ liefern das gleiche ergebnis, da die webanwendung am server nicht zwischen den urls unterscheidet, obwohl sie es tun sollte.

    zweite annahme:
    der angreifer verleitet das opfer statt https://www.example.com/account https://www.example.com/account/invalid.css aufzurufen.

    dritte annahme:
    es wird unter https://www.example.com/account/invalid.css der inhalt von https://www.example.com/account/ gecacht. zb information über den account.

    vierte annahme:
    der angreifer ruft jetzt https://www.example.com/account/invalid.css auf und bekommt diese daten geliefert.

    jetzt klar?

  3. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 20:05

    Artikel:
    Sicherheitslücke: Caches von CDN-Netzwerken führen zu Datenleck

    Alles von dir beschriebene ist keine Sicherheitslücke in den Caches der CDN Netzwerke die tun genau das was sie sollen.

    Jetzt klar? ;-)

  4. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 20:22

    doch. sie cachen etwas, was nicht gecacht werden sollte.

    erzeugt eine webseite bei https://www.example.com/account/invalid.css statt css code html webseiten mit sensitiven daten, schreibt sie trotzdem die richtigen cache header. mittlerweile tun das alle frameworks richtig. die cdn ignorieren diese aber und cachen trotzdem.

  5. Re: Wo ist nun die Sicherheitslücke...

    Autor: Technik Schaf 27.07.17 - 20:38

    MysticaX schrieb:
    --------------------------------------------------------------------------------
    > Artikel:
    > Sicherheitslücke: Caches von CDN-Netzwerken führen zu Datenleck
    >
    > Alles von dir beschriebene ist keine Sicherheitslücke in den Caches der CDN
    > Netzwerke die tun genau das was sie sollen.
    >
    nein, sie tun nicht was sie tun sollen. Die Anforderung ist:
    > sei ein Zwischenspeicher für nicht individuelle Daten.
    Sie speichern aber auch sensible Daten. - > Aufgabe nicht erfüllt!

    nach deiner Logik gäbe es keine Sicherheits Lücken in Software. software acht immer das was sie soll, sprich: wie sie programmiert/konfiguriert ist. Sie ist deterministisch.
    der Fehler liegt so gesehen immer beim Programmierer.
    trotzdem spricht man von Sicherheitslücken in der Software.
    > Jetzt klar? ;-)
    jetzt klar?

  6. Re: Wo ist nun die Sicherheitslücke...

    Autor: Geddo2k 27.07.17 - 22:14

    grundsätzlich sollten die cdns den cache header respektieren das stimmt. aber auf der anderen seite definiere ich doch sehr genau was ins cdn kommt und was nicht und pfade in denen sicherheitsrelevante inhalte liegen haben im cdn nichts verloren bzw. nimmt man i.d.r. ja auch nur den pfad der öffentlichen assets mit ins cdn und verweigert alles andere.

  7. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 27.07.17 - 22:53

    Technik Schaf schrieb:
    --------------------------------------------------------------------------------
    > MysticaX schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Artikel:
    > > Sicherheitslücke: Caches von CDN-Netzwerken führen zu Datenleck
    > >
    > > Alles von dir beschriebene ist keine Sicherheitslücke in den Caches der
    > CDN
    > > Netzwerke die tun genau das was sie sollen.
    > >
    > nein, sie tun nicht was sie tun sollen. Die Anforderung ist:
    > > sei ein Zwischenspeicher für nicht individuelle Daten.
    > Sie speichern aber auch sensible Daten. - > Aufgabe nicht erfüllt!
    >
    > nach deiner Logik gäbe es keine Sicherheits Lücken in Software. software
    > acht immer das was sie soll, sprich: wie sie programmiert/konfiguriert ist.
    > Sie ist deterministisch.
    > der Fehler liegt so gesehen immer beim Programmierer.
    > trotzdem spricht man von Sicherheitslücken in der Software.
    > > Jetzt klar? ;-)
    > jetzt klar?

    Nö, es geht darum das der Titel suggeriert die Lücke wäre der Cache von den CDN's, die Lücke ist aber nicht dort, wenn der Server dahinter Sachen ausliefert die er nicht sollte, ist dort die Lücke nicht im Cache eines CDN.

  8. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 28.07.17 - 01:12

    siehe dazu mein posting noch mal. der server sagt dem cdn per header, dass es nicht gecacht werden soll. das cdn tut es trotzdem. das ist falsches verhalten der cdns. das es nicht _nur_ an den cdns liegt, ist wohl richtig. aber eben auch.

  9. Re: Wo ist nun die Sicherheitslücke...

    Autor: tbone 28.07.17 - 10:02

    MysticaX schrieb:
    --------------------------------------------------------------------------------
    > Nö, es geht darum das der Titel suggeriert die Lücke wäre der Cache von den
    > CDN's, die Lücke ist aber nicht dort, wenn der Server dahinter Sachen
    > ausliefert die er nicht sollte, ist dort die Lücke nicht im Cache eines
    > CDN.

    doch die Lücke ist zumindest teilweise im CDN, da dort Cache Header ignoriert werden und html gecached wird, nur weil die url mit css endet.

    der backend server kann vielleicht aus legacy gründen nicht einfach url enden unterbinden.

  10. Re: Wo ist nun die Sicherheitslücke...

    Autor: SCF 28.07.17 - 11:29

    Es ist eben eine Kombination aus beidem. Würde der Server die URL richtig prüfen wäre alles gut und es könnte nichts gecached werden, was nicht gecached werden sollte. Das CDN ist an der Stelle "dumm", Request kam für URL, Server gab Antwort, also wird für diesen Request diese Antwort gecached. Gut den Header prüfen wäre cool, aber wahrscheinlich machen die das eben nicht weil sonst das schöne Caching nicht so gut laufen würde, eventuell auch weil viele Seiten diese Header nicht korrekt setzen.
    Würde es das CDN dazwischen nicht geben würde der Angriff auch nicht funktionieren, es sei denn der Server bzw. die Server-Infrastruktur hat selber einen Cache mit genau dem gleichen problematischen Verhalten.

  11. Re: Wo ist nun die Sicherheitslücke...

    Autor: Anonymer Nutzer 28.07.17 - 12:17

    > Das CDN ist an der Stelle "dumm", Request kam für
    > URL, Server gab Antwort, also wird für diesen Request diese Antwort
    > gecached. Gut den Header prüfen wäre cool,
    nicht dumm und header prüfen ist nicht nur cool. das verhalten ist definitiv absolut falsch. da gibt's nichts zu rütteln oder anders zu interpretieren.

    > aber wahrscheinlich machen die
    > das eben nicht weil sonst das schöne Caching nicht so gut laufen würde,
    > eventuell auch weil viele Seiten diese Header nicht korrekt setzen.
    das verhalten ist komplett falsch. webseiten mit logins zu cachen ist fast immer ein fehler. ich kann die private webseite eines benutzers cachen, nur damit schön gecacht ist.

    > Würde es das CDN dazwischen nicht geben würde der Angriff auch nicht
    > funktionieren, es sei denn der Server bzw. die Server-Infrastruktur hat
    > selber einen Cache mit genau dem gleichen problematischen Verhalten.
    die meiste standardsoftware (z.b. varnish) ignoriert die header aber nicht (in den default einstellungen).

    das verhalten der cdns ist falsch. nur weil zwei seiten was falsch machen, heißt das nicht, dass das verhalten des einen deshalb plötzlich richtig wird.

  12. Re: Wo ist nun die Sicherheitslücke...

    Autor: schauma 28.07.17 - 17:22

    IMHO
    Die Sicherheitslücke liegt im Verhalten des Webservers. Er erstellt aus einer Session-abhängigen Information eine Session-unabhängige Information. Die Entscheidung was zwischen Nutzer und Server durch x-beliebige Systeme( auch CDN) gecacht wird, darf für die Sicherheit der Nutzer nicht relevant sein.

    Ein Seitenbetreiber kann ja nicht für alle Cachingdienste auf dem Weg garantie geben, dass diese richtig konfiguriert sind. Als Beispiel können wir hier Caching Proxies nehmen, die Firmen bei dem Aufbrechen von SSL -In manchen Branchen üblich- verwenden.

    Betrachten wir den Datenfluss ist auch klar, dass die Server-Response gecacht wird. Als das, was vom Server auf dem Rückweg gespeichert wird. Der Webserver kann also das Antworten auf nicht existente Dateien unterbinden.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. FRISTO GETRÄNKEMARKT GmbH, Buchloe
  2. über duerenhoff GmbH, Raum Norderstedt
  3. STRABAG BRVZ GMBH & CO.KG, Stuttgart
  4. Dataport, Hamburg

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Top-Angebote
  1. 12,17€ (ohne Prime oder unter 29€ zzgl. Versand)
  2. 5€
  3. 199€ (Bestpreis!)
  4. 319€ (aktuell günstigste GTX 1070!)


Haben wir etwas übersehen?

E-Mail an news@golem.de


IT-Jobporträt Spieleprogrammierer: Ich habe mehr Code gelöscht als geschrieben
IT-Jobporträt Spieleprogrammierer
"Ich habe mehr Code gelöscht als geschrieben"

Wenn man im Game durch die weite Steppe reitet, auf Renaissance-Hausdächern kämpft oder stundenlang Rätsel löst, fragt man sich manchmal, wer das alles in Code geschrieben hat. Ein Spieleprogrammierer von Ubisoft sagt: Wer in dem Traumjob arbeiten will, braucht vor allem Geduld.
Von Maja Hoock

  1. Recruiting Wenn die KI passende Mitarbeiter findet
  2. Softwareentwicklung Agiles Arbeiten - ein Fallbeispiel
  3. IT-Jobs Ein Jahr als Freelancer

Android-Smartphone: 10 Jahre in die Vergangenheit in 5 Tagen
Android-Smartphone
10 Jahre in die Vergangenheit in 5 Tagen

Android ist erst zehn Jahre alt, doch die ersten Geräte damit sind schon Technikgeschichte. Wir haben uns mit einem Nexus One in die Zeit zurückversetzt, als Mobiltelefone noch Handys hießen und Nachrichten noch Bällchen zum Leuchten brachten.
Ein Erfahrungsbericht von Martin Wolf

  1. Sicherheitspatches Android lässt sich per PNG-Datei übernehmen
  2. Google Auf dem Weg zu reinen 64-Bit-Android-Apps
  3. Sicherheitslücke Mit Skype Android-PIN umgehen

Begriffe, Architekturen, Produkte: Große Datenmengen in Echtzeit analysieren
Begriffe, Architekturen, Produkte
Große Datenmengen in Echtzeit analysieren

Wer sich auch nur oberflächlich mit Big-Data und Echtzeit-Analyse beschäftigt, stößt schnell auf Begriffe und Lösungen, die sich nicht sofort erschließen. Warum brauche ich eine Nachrichten-Queue und was unterscheidet Apache Hadoop von Kafka? Welche Rolle spielt das in einer Kappa-Architektur?
Von George Anadiotis


    1. Erneuerbare Energien: Shell übernimmt Heimakku-Hersteller Sonnen
      Erneuerbare Energien
      Shell übernimmt Heimakku-Hersteller Sonnen

      Der Erdölkonzern Shell setzt sein Engagement im Bereich erneuerbare Energien fort. Nun kauft das Unternehmen einen Konkurrenten für Teslas Powerwalls aus dem Allgäu.

    2. Wochenrückblick: Kein Download vom Mars, kein Upload ins Netz
      Wochenrückblick
      Kein Download vom Mars, kein Upload ins Netz

      Golem.de-Wochenrückblick EU-Unterhändler bürokratisieren mit Leistungsschutzrecht und Uploadfilter das Internet. Am Mars geht Opportunity in Rente. Zurück auf der Erde fühlen wir uns eingeschnürt.

    3. Streaming: Netflix zahlt in deutsche Filmförderung ein
      Streaming
      Netflix zahlt in deutsche Filmförderung ein

      Netflix beendet den Rechtsstreit und zahlt einen Umsatzanteil an die deutsche Filmförderung. Die Filmabgabe, die neben den Kinos von der Videowirtschaft und dem Fernsehen erhoben wird, sollen nun alle Streaminganbieter zahlen.


    1. 11:39

    2. 09:02

    3. 19:17

    4. 18:18

    5. 17:45

    6. 16:20

    7. 15:42

    8. 15:06