Utilizzo di URL oscuro per la sicurezza [duplicato]

19

Il mio provider di hosting offre un prodotto IaaS (Infrastructure-as-a-Service) gestito tramite un'interfaccia web, in cui l'amministratore può creare e distruggere macchine virtuali.

Per accedere al portale di amministrazione basato sul web, ho bisogno di accedere al "service desk" del provider di hosting (username e password su HTTPS), quindi fare clic su un link generato per accedere al portale di amministrazione IaaS (anche HTTPS ).

Il link stesso è molto probabilmente non gestibile (include ciò che sembra un hash MD5 e 2 GUID), ma chiunque abbia accesso a quell'URL avrà accesso illimitato al portale IaaS per diverse ore (il collegamento sembra scadere dopo questo tempo).

Ho verificato che l'accesso tramite il link non è limitato al mio indirizzo IP specifico.

In breve, chiunque abbia il link potrebbe eliminare tutte le VM e i dati del mio cliente, a condizione che possano accedervi entro un paio d'ore dalla loro generazione.

È questa sicurezza inadeguata per qualcosa come un portale IaaS (il mio istinto dice no)? Quali preoccupazioni specifiche posso sollevare con il fornitore di servizi di hosting?

Modifica: So che questa domanda è simile a È incluso un GUID segreto in un URL Security Through Obscurity? , ma quella domanda riguarda client HTTP di basso livello, non browser, che introducono ulteriori problemi, come la perdita di URL, la cronologia del browser, il caching, ecc.

    
posta Anonymous Ballstein 17.06.2015 - 13:53
fonte

1 risposta

22

Il problema con gli URL segreti è che possono essere trapelati in vari modi.

Immagini, Javascript, fogli di stile e caratteri possono perdere l'URL della pagina web che stai visitando. Ad esempio, se la tua pagina segreta include qualcosa come <img src="http://example.com"/>,quandoiltuobrowsercattural'immaginepotrebbeincluderel'URLdellapaginasegretanell'intestazioneReferer.Esistonoalcunicasid'uso(httpsaltrafficohttpooverridedelbrowser)cheimpedisconoalbrowserdiinviarel'intestazione,maingenerale,questoèunmodocomuneperfarfiltrarel'URLsegreto.

Mentrepuoiguardareiltuotrafficodirete(usalafunzione"profilo di rete" in Chrome o Firefox) quando carichi la pagina per vedere se l'URL è trapelato, la preoccupazione principale è che qualsiasi cambiamento nella pagina potrebbe introdurre una perdita .

Due casi di alto profilo di URL segreti trapelati includono Google Documenti e Dropbox .

Questa sicurezza è inadeguata per qualcosa come un portale IaaS?

Come accennato in precedenza, è possibile utilizzare la funzionalità del profilo di rete del browser per verificare se la pagina perde l'URL. Tuttavia, la più grande preoccupazione è la fragilità di questo sistema. A differenza di qualcosa come una password, l'utente non ha alcun controllo sull'implementazione della pagina web e, accidentalmente, includere una risorsa esterna in un foglio di stile è fin troppo facile. Questo non vuol dire che il sistema sia insicuro, solo che è un po 'fragile.

Se dovessi utilizzare il portale IaaS, chiederei che includano un meccanismo di controllo dell'accesso aggiuntivo oltre un URL facilmente divulgabile.

    
risposta data 17.06.2015 - 14:31
fonte

Leggi altre domande sui tag