Межсайтовые утечки
-
Основы межсайтовых утечек
- Межсайтовые утечки — это процесс, при котором веб-приложения могут передавать конфиденциальную информацию третьим сторонам.
- Утечки могут происходить через различные методы, включая использование HTTP-кэша и встроенных фреймов.
-
Методы межсайтовых утечек
- Утечки могут быть обнаружены путем проверки времени загрузки ресурсов, уникальных для веб-страницы.
- Злоумышленники могут использовать глобальные ограничения для истощения ресурсов веб-сайта.
- Новые методы межсайтовых утечек появляются, но старые методы становятся менее эффективными из-за изменений в браузерах и спецификациях.
-
Пример веб-приложения
- В статье приведен пример веб-приложения, демонстрирующий уязвимость для межсайтовых утечек.
-
Средства защиты
- До 2017 года веб-сайты защищались от утечек, обеспечивая одинаковый ответ для всех состояний приложения.
- Современные средства защиты включают разделение HTTP-кэша, заголовок Cross-Origin-Opener-Policy и разделение хранилища.
- Предотвращение изменения состояния достигается через использование заголовков X-Frame-Options и frame-ancestors.
- Блокировка ресурсов разных источников (CORB) и заголовок Cross-Origin-Resource-Policy (CORP) также используются для предотвращения утечек.
-
Параметры SameSite в файлах cookie
- Использование параметра SameSite в файлах cookie является эффективным подходом для предотвращения межсайтовых утечек.
- Пересказана только часть статьи. Для продолжения перейдите к чтению оригинала.