Luki w uwierzytelnianiu formularzy ASP.NET Forms:

Czytałem to SO question, kiedy uderzyła mnie odpowiedź linku @ Slauma (zawierająca here) do wybranej odpowiedzi napisanej przez @ reach4thelasers. Jest to post na blogu o tym, jak szeroko złamać uwierzytelnianie formularzy ASP.NET i zebrać klucz komputera zdalnego w ciągu około pół godziny.Luki w uwierzytelnianiu formularzy ASP.NET Forms:

Było kilka odpowiedzi na wpis na blogu, które wspomniały o tym, że było to możliwe tylko wtedy, gdy nie robiłeś pewnych konkretnych rzeczy, ale nie miałem jasności co do tych konkretnych rzeczy (coś o stronie błędów niestandardowych, ale wideo nie trafił na żadną stronę błędu). Wspomniał także, że MS ma zalecenia dotyczące unikania tego rodzaju ataków, ale nie było związku z zaleceniem.

Po pierwsze, czy ktoś może jasno wytłumaczyć, co jest konieczne, przy opracowywaniu systemu uwierzytelniania formularzy ASP.NET, aby zapobiec takim operacjom, jak wspomniano powyżej?

Po drugie, czy istnieją inne dobrze znane exploity w uwierzytelnianiu formularzy ASP.NET, że pewna najlepsza praktyka (która nie jest domyślnie zaimplementowana) złagodzi lub uniemożliwi? Buduję stronę publiczną z danymi finansowymi, więc jest to dla mnie poważnym problemem.

Źródło

2013-04-13 Jeremy Holovacs

Wierzę, że mówisz o tym: http://stackoverflow.com/questions/3720720/how-serious-is-this-new-asp-net-security-vulnerability-and-how-can-i-workaround – Aristos

I podobne pytanie ode mnie to http://stackoverflow.com/questions/2498599/can-some-hacker-steal-the-cookie-from-a-user-and-login-with-that-name-on- a-web-s – Aristos

Doskonały. Dzięki za linki. –

ta została już skierowana dawno temu: http://technet.microsoft.com/en-us/security/bulletin/MS10-070

Scott Gu pisał o niej w chwili http://weblogs.asp.net/scottgu/archive/2010/09/28/asp-net-security-update-now-available.aspx

ten SO pytanie obejmuje kilka wpływ emisji Is it vulnerable to ASP Padding oracle

powiedziałbym, że głównym powodem jest to, że poprawki i ulepszenia w frameworkach są mniej niebezpieczne niż pozostawienie aplikacji produkcyjnych na starym, starym poziomie łat, które to rady kontrolne dużych organizacji widzą na odwrót. Na ogół obawiają się, że poprawki są bardziej aktualne niż możliwość wystąpienia luk w istniejącym kodzie.

Źródło

2013-04-13 12:26:52 MatthewMartin

Fantastyczne. Byłem trochę wprowadzony w błąd przez komentarze na blogu, wydaje się ... wydawało się sugerować, że deweloper musiał podjąć działania, aby temu zapobiec. –

Kilka lat temu widziałem instalację programu ASP.NET 1.0 w czasie wydania wersji 3.5 - mogło to mieć miejsce tylko w patologicznym obawie przed łatami. Ta strona wciąż może mieć problem, ale nawet tam musieliby wyłączyć aktualizacje systemu Windows, które zapewniają większość tego rodzaju poprawek. Kiedy moi administratorzy serwera mówią, że chcą poprawić lub zaktualizować framework, mówię im "proszę!" nawet jeśli będzie to oznaczać pewne sprawdzanie, czy funkcjonalność wciąż działa tak samo. – MatthewMartin

Nie mogę tutaj napisać książki, ale chcę wyraźniej wyjaśnić pozycję CCB w bardzo dużych organizacjach. Pracuję dla bardzo dużej organizacji (27K +) i oni powoli idą naprzód i stosują łatki również. Dzieje się tak głównie dlatego, że zaangażowanych jest więcej podmiotów, niż możesz liczyć na dwie ręce. Nic w dużej organizacji nie jest "po prostu zrób to i zadziała - a jeśli nie, poradzimy sobie z tym." Po prostu tak nie działa. Dlatego najpierw uaktualnij niższe środowiska, przetestuj je dokładnie, a następnie zaplanuj poza godzinami szczytu, aby uzyskać aktualizacje. –

Luki w uwierzytelnianiu formularzy ASP.NET Forms:

Odpowiedz

Powiązane problemy