Gone in 30 seconds: New attack plucks secrets from HTTPS-protected pages
Új sebezhetőség a TLS protokollon
■ 
Friss blogmarkok
- Web Akadálymentesítési Útmutató (WCAG) 2.1 – nyilvános munkaterv – Megjelent a WCAG (Web Akadálymentesítési Útmutató) 2.1 nyilvános munkaterv (0)
- MongoDB Apocalypse Is Here as Ransom Attacks Hit 10,000 Servers – Több tízezer védtelen MongoDB szerverre csaptak le hackerek (2)
- 12 Signs You’re Working in a Feature Factory – A cél nélküli funkciógyártás néhány tünete (0)
- Translatable, custom dates in Twig templates of Drupal 8 – Saját dátumok megjelenítése, fordíthatóan a Drupal 8 smink rétegével dolgozva (0)
- NativeScript – Cross-Platform Native Development with Javascript – Fejlesszünk natív mobilalkalmazást JavaScripttel (0)
- GitHub Security Update: Reused password attack – Érdemes bekapcsolni a kétfaktoros azonosítást, ha a GitHub jelszavunkat más oldalakon is újra felhasználtuk (17)
- UX Design könyv – Hogyan tervezz felhasználóbarát és szerethető alkalmazásokat? (0)
- Introducing unlimited private repositories – Megváltozik a GitHub díjszabása: minden előfizetéshez korlátlan számú privát repository jár (0)
- Drupal 8 Twig: add custom CSS classes to menus (based on menu name) – Saját elképzeléseink szerinti CSS osztályok (automatizált) hozzáadása a Drupal 8 menüihez (0)
Cikkajánló
Baranyai László:
A MySQL biztonsági kérdései
Bártházi András:
Bábeli zűrzavar I.
Hojtsy Gábor:
Weblabor váltás: miért éppen Drupal?
Friss csiripek
Csiripek betöltése…
Aktív fórum témák
Új fórum témák
Archívum
| H | K | Sze | Cs | P | Szo | V |
|---|---|---|---|---|---|---|
| 25 | 26 | 27 | 28 | 29 | 30 | 1 |
| 2 | 3 | 4 | 5 | 6 | 7 | 8 |
| 9 | 10 | 11 | 12 | 13 | 14 | 15 |
| 16 | 17 | 18 | 19 | 20 | 21 | 22 |
| 23 | 24 | 25 | 26 | 27 | 28 | 29 |
| 30 | 31 | 1 | 2 | 3 | 4 | 5 |
A cikk megoldásként azt írja,
Jóval kevésbé függenénk a tömörítéstől, ha megszabadulnánk a HTML-től, és helyette az adatokat jóval kompaktabb formában, például XML-ben küldenénk. A HTML statikus, ráadásul nagy része a kódnak csak a dizájn miatt szükséges.
Magyarul irány a
Miért is?
Mert a "küldjünk minél
Van egy adatbázis szervered, esetleg egy alkalmazás szerver és a kliens csak az adatokat kapja, a feldolgozás nagy részét ő végzi ahogy neki tetszik.
Ez nem sokban tér el attól, ami a web előtt volt.
Ha így nézzük, akkor igen.
Használhatsz XSLT-t.
És érdekes módon, ilyen
Csak aztán mi kellett a népnek? HTML5 meg csilivili CSS3 meg egyéb szemetek. Pedig mennyivel jobb lenne, ha a tartalmat (XML adatforrások pl. bindinggal) a megjelenítéstől (HTML+CSS+JS) külön lehetne választani.
De neeeem, a népeknek csicsa és parasztvakítás kellett (meg egy tök új jelölőnyelv, ami se az XML-lel se az SGML-lel nem kompatibilis már, csak saját magával), érdemi dolgokban meg továbbra is 0 előrelépés.
Lehet, az a baj a webbel,
Amit nem értek
Ez nekem sem teljesen tiszta,
Köszi
Ezesetben viszont létezik egyszerű a védekezés. Egy iylen keresés egyértelműen a bruteforce jeleit mutatja a szerver felől nézve. Egy netbank szintű szolgáltatást nem tudok elképzelni jól megválasztott limitek nélkül bármilyen user akcióra.
Ha átlag (35/2)*karakterek
A kézenfekvő védekezés az lenne, hogy az SSL endpoint hozzátesz egy véletlenszerű hosszúságú "zaj" fejlécet a válaszhoz.
A kézenfekvő védekezés az
Én is ezen gondolkodtam.
jól értem?
Valamint ugyanarról a végpontról?
Mert ha jól értem, ezt azért ki lehet szűrni.
Lehet, de azért nem
Ha 5 percenként küldi, nem
Engem mondjuk eleve kiborít,
De egyébként a munkamenetet más oldalakra küldött GET-ekkel is életben lehet tartani.
2 megoldás
Ha a próbálkozásokat a támadó saját kódja (saját weblapjáról) intézi, egyszerű védekezeés lehet a user oldalán ha kikapcsoljuk a 3rd party cookiekat, így a próbálkozásokból - amit én hidden iframe-nek értek - máris hiányzik az eredeti munkamenet azonosító (és bármi más adat maiért a felhasználó gépéről érdemes ezeket a próbálkozásokat küldeni).
Szervereknek:
Külső Referer tiltás: a kérést egyszerűen dobjuk el, ha nem ellenőrzött site-ról (mint Referer) érkezik. - (Szigorúbb esetben elgondolkodhatunk az üres referer tiltásán. Erről nem ismerek friss számokat.)
Könyvjelző megnyitásakor is
Referer