ugrás a tartalomhoz

Archívum - Jan 2021

Dátum
  • Minden
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27
  • 28
  • 29
  • 30
  • 31

január 13

Cross-site Scripting/XSS védelem?

mind1 valami név · Jan. 13. (Sze), 10.53
Van egy olyan, nagyon régi támadási felület a neten, amit XSS néven emlegetnek.
Kell ez ellen valami extra védelem a mai böngészőkbe? Vagy ma már alapból védett minden normális/elterjedt browser?


A háttér:

Nem tudom, ezek mennyire működnek manapság, mindenesetre a Noscript nevű firefox addon tartalmaz egy XSS védelemnek nevezett eszközt is.
Egy híroldal a disqus nevű szolgáltatást használja kommenteléshez, de pár napja, ha firefox alól megyek oda, iszonyat lassú és néha feljön egy hibaüzenet ami XSS támadás lehetőségét emlegeti, mert az oldal a disqus.com-ról futtat javascriptet.
A hiba persze bárhol lehet, akár az adott oldalon, akár a disqus-nál, akár a Noscript-ben.
Csak úgy elgondolkodtam, hogy vajon miért szükséges a Noscript-be egy ilyen védelem, ha a mai browserek egyébként védettek?
Ha meg nem, annak mi az oka?
 

január 4

lejárt tanúsítványra nem figyelmeztet a böngésző, ha...

mind1 valami név · Jan. 4. (H), 10.11
Röviden: indamailre egy dolphin nevű böngészővel léptem be, pofázott, hogy az asset.pagefair.com/.net (*) lejárt tanúsítványt használ, nem biztonságos.

Kívülről ellenőrizve valóban rég lejárt.
(Kívülről = pl a digicert.com segítségével)

Amit nem értek és nagyon szeretném érteni: a többi böngészők (beleértve chrome, chromium, opera, Firefox, Samsung Internet, ill. ezek desktop változatai) miért nem jelzik, hogy gond van?
Ha egy https: kezdetű oldalon van egy http: ... jpeg, akkor mind jelzi, hogy nem teljes a biztonság.
Erre miért nem jelez senki a Dolphint leszámítva?

* = Nem tudom, ott a .com vagy a .net van, de egyiknek sem jó a tanúsítványa...

update 1: kicsit utánanéztem, a chrome biztosan detektálja a lejárt tanúsítványt, de csak lazán ignorálja a konzol üzenetei alapján (már úgy értem, az oldalt), viszont nem figyelmezteti a usert. Hogy miért... nem igazán értem.