È HTTP to localhost sicuro? [duplicare]

3

Google sta pianificando di fare in modo che Chrome comunichi tutti i siti Web che si connettono utilizzando http:// come non sicuri.

Ma è proprio vero se l'host in questione è localhost e il server sta solo ascoltando le connessioni dal computer locale? Ad esempio, se c'è un server in esecuzione sul computer locale e navigo su http://localhost:8080 c'è qualcosa di insicuro a riguardo? Per quanto ne so, questo risolve in 127.0.0.1 che è inaccessibile al di fuori della macchina locale. Penso che non dovrebbe mai essere possibile che localhost si risolva in 127.0.0.1 o che 127.0.0.1 non si riferisca al computer locale.

Tutte le comunicazioni dovrebbero passare attraverso un canale che non può essere visto da altri processi diversi dal processo del server sulla macchina e dal processo client che è il browser web. Quindi inviare cose come password, chiavi di sessione, ecc. Sul canale dovrebbe essere sicuro, giusto?

Sono a conoscenza dei rischi per la sicurezza che potrebbero essere causati da che consente l'accesso localhost , e in che modo questi potrebbero essere protetti. Quali altri rischi ci sono?

    
posta Michael 04.01.2017 - 00:20
fonte

1 risposta

6

Sort of.

Il traffico di loopback non raggiunge un'interfaccia di rete fisica. Viene instradato attraverso l'interfaccia di loopback virtuale, quindi non esce mai dalla macchina.

Le applicazioni amministrative (inclusi gli utenti amministrativi) ei processi ad alto privilegio del sistema saranno in grado di rilevare l'interfaccia di loopback, almeno su Windows, OS X e Linux. In alcune configurazioni, i processi non-root possono essere in grado di accedere a loopback di pcap e sniff. Nei moderni script di configurazione di pcap si chiede se si desidera limitare l'accesso di pcap a root-root, il che impedisce questo problema.

I socket di rete TCP non sono limitati a determinati utenti, quindi su sistemi multiutente un socket TCP in ascolto sarà accessibile da tutti gli utenti su quel sistema. Inoltre, un processo eseguito prima che il tuo abbia la possibilità di avviarsi può avviare il proprio server di ascolto su quella porta e accettare richieste dal client. Indipendentemente dal fatto che si tratti di una vulnerabilità dipende dal tuo caso d'uso e dal modello di minaccia.

    
risposta data 04.01.2017 - 00:31
fonte

Leggi altre domande sui tag