Tag: HTTP

GitHub: nieautoryzowany dostęp do kont użytkowników -> przyznano nagrodę ~100 000zł

07 listopada 2019, 19:50 | Aktualności | komentarze 2
GitHub: nieautoryzowany dostęp do kont użytkowników -> przyznano nagrodę ~100 000zł

Ta podatność w GitHub-ie warta jest wspomnienia ze względu na kilka różnych ciekawostek. Całość dotyczy wydawałoby się bezpiecznego mechanizmu OAuth. Ale od początku, GitHub definiuje taki URL: https://github.com/login/oauth/authorize Realizuje on dwie funkcje – jeśli dostaniemy się tam GET-em otrzymujemy ekran logowania, z kolei POST wysyłany jest w momencie kiedy użytkownik…

Czytaj dalej »

Pełen darmowy rozdział z książki sekuraka (podstawy protokołu HTTP) – PDF.

15 października 2019, 15:41 | W biegu | 1 komentarz
Pełen darmowy rozdział z książki sekuraka (podstawy protokołu HTTP) – PDF.

Cały, rozdział  naszej książki o bezpieczeństwie aplikacji webowych dostępny jest tutaj: Podstawy protokołu HTTP (pdf). To jeden ze wstępnych rozdziałów przygotowujących czytelnika do analizy meandrów różnych podatności. Przeczytacie tutaj o zupełnych podstawach, ale jest też nieco smaczków dla bardziej zaawansowanych czytelników jak np. świeża tematyka HTTP request smuggling czy zupełnie…

Czytaj dalej »

Protokół HTTP/2 – czyli szybciej, ale czy również bezpieczniej?

05 lipca 2019, 09:44 | Teksty | komentarze 4
Protokół HTTP/2 – czyli szybciej, ale czy również bezpieczniej?

Czy chcemy, by obecne aplikacje webowe mogły działać szybciej bez ponoszenia nakładów na lepsze łącza sieciowe czy infrastrukturę serwerową? Oczywiście, że tak – i taki właśnie główny cel przyświecał twórcom protokołu HTTP/2. Dokładniej rzecz ujmując, chodziło o zwiększenie wydajności komunikacji pomiędzy klientem (czyli najczęściej przeglądarką internetową) a serwerem, przy jednoczesnym…

Czytaj dalej »

Protokół http – podstawy

07 marca 2019, 08:52 | Teksty | komentarzy 13
Protokół http – podstawy

Nagłówki HTTP, URL, URI, żądania, odpowiedzi, kodowanie procentowe, formularze HTML, parametry przesyłane protokołem HTTP, różne implementacje serwerów HTTP skutkujące problemami bezpieczeństwa – to tylko kilka elementów, którymi zajmę się w tym tekście.

Czytaj dalej »

Kod odpowiedzi HTTP 451 „ocenzurowano” – zaakceptowany. RFC wkrótce.

21 grudnia 2015, 18:00 | W biegu | komentarze 4

IESG (The Internet Engineering Steering Group) zaakceptowało kod odpowiedzi serwera HTTP – 451 i przekazało do dalszej standaryzacji. Warto jednak zaznaczyć, że nazwa kodu została opisana w bardziej eufemistyczny sposób niż w tytule naszego posta, tj.: „451 unavailable”: Error 451 is a new error code that we want ISPs to show when people visit…

Czytaj dalej »

Mechanizm HTTP Public Key Pinning

22 lipca 2015, 10:10 | Teksty | komentarzy 9
Mechanizm HTTP Public Key Pinning

Bezpieczne połączenia przy użyciu protokołu HTTPS stanowią jeden z podstawowych budulców dzisiejszego Internetu. HTTPS zapewnia poufność, integralność oraz autentyczność komunikacji. Ten ostatni cel jest realizowany dzięki standardowi X.509, który definiuje infrastrukturę klucza publicznego. Model zaufania oparty na X.509 ma jednak pewną fundamentalną wadę, której rozwiązaniem ma być mechanizm HTTP Public Key Pinning (HPKP).

Czytaj dalej »

HSTS czyli HTTP Strict Transport Security

30 sierpnia 2013, 09:57 | Teksty | komentarzy 9
HSTS czyli HTTP Strict Transport Security

W kolejnym odcinku opisującym nagłówki HTTP związane z bezpieczeństwem webowym skupimy się na HSTS czyli HTTP Strict Transport Security. Protokół HTTP nigdy nie był projektowany z myślą o bezpieczeństwie. W czasie, kiedy powstawały jego pierwsze wersje, z sieci komputerowych korzystały naukowe ośrodki obliczeniowe i paru naukowców.

Czytaj dalej »