澳门新葡亰亚洲在线正文由。

纵然利用了 https 也毫无通过 query strings 传敏感数据

2017/10/16 · 基本功技术 ·
HTTPS

本文由 伯乐在线 –
xiaoheike
翻译,艾凌风
校稿。未经许可,禁止转载!
英文出处:HttpWatch。欢迎加入翻译组。

劳器端的 log 将公开记下完整 url;浏览器上之顾历史为会当着记下完整
url;Referrer headers 里也忠实记下整 url,然后在别人家的 Google
Analytics 上显得。

咱常听到的一个周边问题是:“URL
中之参数是否足以安全地传递及安全网站?”这个题材时出现于客户看了
HttpWatch 捕获的 HTTPS 请求后,想清楚还有哪位好观看这些数量。

 

诸如,假而于一个询问中,使用如下安全的 URL 传递密码字符串:

https://www.httpwatch.com/?password=mypassword

HttpWatch 能够展示安全要的始末,因为它们跟浏览器集成,因此它能够在
HTTPS 请求的 SSL
连接对数据加密之前查数据。澳门新葡亰亚洲在线 1

使您以网络嗅探器查看,例如
Network Monitor,对于同一个告,你就能够查阅加密然后的数据。在数包跟中从来不可见的网址,标题或内容:

澳门新葡亰亚洲在线 2

你可以信任 HTTPS 请求是安的,只要:

  • 匪忽略任何SSL证书警告
  • Web 服务器用于启动 SSL 连接的私钥在 Web 服务器本身之外不可用。

用,在网络规模,URL 参数是安全之,但是还有一些其它因 URL
泄漏数据的点子:

  1. URL 存储于 Web 服务器日志中–通常每个请求的整体 URL
    都被寄放于服务器日志被。这象征 URL
    中的别样敏感数据(例如密码)会因明形式保留在服务器上。以下是行使查询字符串通过
    HTTPS 发送密码时存储在 httpwatch.com 服务器日志中之条条框框:
    **2009-02-20 10:18:27 W3SVC4326 WWW 208.101.31.210 GET
    /Default.htm password=mypassword 443 …
    通常认为就是是于服务器上,仓储明文密码从来还无是好想法
    2.URLs are stored in the browser history – browsers save URL
    parameters in their history even if the secure pages themselves are
    not cached. Here’s the IE history displaying the URL parameter:
  2. URL 存储在浏览器历史记录中–即使安全网页本身不缓存,浏览器也会拿
    URL 参数保存于该历史记录中。以下是 IE 的历史记录,显示了 URL
    的乞求参数:澳门新葡亰亚洲在线 3

假使用户创建书签,查询字符串参数为将给积存。

  1. URLReferrer 请求头中于传送–如果一个安全网页使用资源,例如
    javascript,图片或分析服务,URL 将通过 Referrer
    请求头传递到各级一个坐对象。有时,查询字符串参数可能给传送并存放在第三方站点。在
    HttpWatch 中,你得望我们的密码字符串正于发送至
    Google Analytics澳门新葡亰亚洲在线 4

结论

化解这个题材要简单步:

  • 惟有以绝少不了之状下传递敏感数据。一旦用户为验证,最好用所有有限生命周期的会话
    ID 来标识它们。

用会说话层级的 cookies 传递信息的长处是:

  • 其不见面蕴藏于浏览器历史记录中要么磁盘上
  • 它通常不存储于服务器日志中
  • 其不见面传递到嵌入式资源,例如图片或 JavaScript
  • 它才适用于要其的地带和路径

以下是咱的在线公司中,用于识别用户的 ASP.NET 会话 cookie 示例:

澳门新葡亰亚洲在线 5

请注意,cookie 被限在域
store.httpwatch.com,并且以浏览器会话结束时过(即未会见蕴藏到磁盘)。

若澳门新葡亰亚洲在线当可以经过 HTTPS
传递查询字符串,但是绝不当可能出现安全问题的景下使用。例如,你可以高枕无忧之应用她显示有数字还是项目,像
accountview 或者
printpage,但是绝不以它传递密码,信用卡号或者其它非应该明白之音讯。

1 赞 收藏
评论

至于作者:xiaoheike

澳门新葡亰亚洲在线 6

简介还并未赶趟写 :)
个人主页 ·
我的文章 ·
10 ·
     

澳门新葡亰亚洲在线 7

相关文章