È HTTP to localhost sicuro? [duplicare]

Question

È HTTP to localhost sicuro? [duplicare]

#1 da (6 voti)

3

Google sta pianificando di fare in modo che Chrome comunichi tutti i siti Web che si connettono utilizzando http:// come non sicuri.

Ma è proprio vero se l'host in questione è localhost e il server sta solo ascoltando le connessioni dal computer locale? Ad esempio, se c'è un server in esecuzione sul computer locale e navigo su http://localhost:8080 c'è qualcosa di insicuro a riguardo? Per quanto ne so, questo risolve in 127.0.0.1 che è inaccessibile al di fuori della macchina locale. Penso che non dovrebbe mai essere possibile che localhost si risolva in 127.0.0.1 o che 127.0.0.1 non si riferisca al computer locale.

Tutte le comunicazioni dovrebbero passare attraverso un canale che non può essere visto da altri processi diversi dal processo del server sulla macchina e dal processo client che è il browser web. Quindi inviare cose come password, chiavi di sessione, ecc. Sul canale dovrebbe essere sicuro, giusto?

Sono a conoscenza dei rischi per la sicurezza che potrebbero essere causati da che consente l'accesso localhost , e in che modo questi potrebbero essere protetti. Quali altri rischi ci sono?

http web-browser web-application

posta Michael 04.01.2017 - 00:20

fonte

1 risposta

Leggi altre domande sui tag http web-browser web-application

Applicazioni realistiche di privacy differenziale? Elenco Bcc di una e-mail server di Exchange a cui ha acceduto qualcuno che ha inoltrato l'e-mail

score 6 · Answer 1

Sort of.

Il traffico di loopback non raggiunge un'interfaccia di rete fisica. Viene instradato attraverso l'interfaccia di loopback virtuale, quindi non esce mai dalla macchina.

Le applicazioni amministrative (inclusi gli utenti amministrativi) ei processi ad alto privilegio del sistema saranno in grado di rilevare l'interfaccia di loopback, almeno su Windows, OS X e Linux. In alcune configurazioni, i processi non-root possono essere in grado di accedere a loopback di pcap e sniff. Nei moderni script di configurazione di pcap si chiede se si desidera limitare l'accesso di pcap a root-root, il che impedisce questo problema.

I socket di rete TCP non sono limitati a determinati utenti, quindi su sistemi multiutente un socket TCP in ascolto sarà accessibile da tutti gli utenti su quel sistema. Inoltre, un processo eseguito prima che il tuo abbia la possibilità di avviarsi può avviare il proprio server di ascolto su quella porta e accettare richieste dal client. Indipendentemente dal fatto che si tratti di una vulnerabilità dipende dal tuo caso d'uso e dal modello di minaccia.