Quali minacce ha un'applicazione web stateless? (al contrario di una sessione "full-state")

2

Sto confrontando i pro e i contro tra una sessione ASP.NET MVC autenticata "stateless" rispetto a un'applicazione ASP.NET Forms con viewstate.

Supponendo che ci sia una webfarm con più di 1 server web dietro un load balancer:

  1. What threats would a stateless application have that a traditional "state aware" application don't have?

  2. If there is a difference, what are the risks?

  3. What should I do to my stateless MVC application to maintain comparable security? (I'm thinking about the options in a NetScaler with regard to session affinity)

    
posta random65537 09.11.2011 - 15:00
fonte

1 risposta

2

Alcuni attacchi DOS diventano fattibili con un numero minore di client malfunzionanti quando è imprevedibile quale macchina reale servirà a una particolare richiesta.

  1. Invia una serie di messaggi che fanno in modo che i frammenti di ricezione recuperino i dati nella memoria, eliminando la maggior parte di qualsiasi altra cosa che risiede.
  2. Passa a inviare una serie di messaggi che fanno sì che i frammenti di ricezione recuperino un diverso set di dati nella memoria, sfogliando ciò che è stato recuperato da 1.
  3. Ripeti.

Quando l'allocazione dei messaggi ai frammenti è casuale o per lo più casuale, tale casualità può essere sfruttata per DOS un gruppo di macchine da un numero minore di aggressori se un insieme alternato di messaggi può far sì che quei frammenti trascorrano la maggior parte del tempo a riempire le cache invece di gestire le richieste.

Con un sistema con stato basato su frammenti basati su ID sessione, devi essere in grado di creare sessioni a basso costo o avere un numero elevato di aggressori in grado di mantenere una sessione costosa.

Ovviamente, per alcune applicazioni potrebbe essere possibile definire un sistema stateless che non si scambia su disco.

    
risposta data 09.11.2011 - 19:24
fonte

Leggi altre domande sui tag