Portál AbcLinuxu, 16. říjen 2019 19:03


www.AutoDoc.Cz

Bezpečnostní chyby v implementacích HTTP/2

Byly zveřejněny informace o 8 bezpečnostních chybách v implementacích protokolu HTTP/2. Chyby CVE-2019-9511 až CVE-2019-9518 lze zneužít k odepření služeb (DoS). Přehled softwarových produktů a v nich obsažených chyb v tabulce na stránce CERT/CC.

15.8. 19:44 | Ladislav Hagara | Bezpečnostní upozornění


Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

Komentáře

Nástroje: Začni sledovat (1) ?Zašle upozornění na váš email při vložení nového komentáře. , Tisk

Vložit další komentář

16.8. 09:02 j
Rozbalit Rozbalit vše trolling
Odpovědět | Sbalit | Link | Blokovat | Admin

Vlákno bylo přesunuto do samostatné diskuse.

16.8. 18:39 Miloslav Ponkrác
Rozbalit Rozbalit vše HTTP/2
Odpovědět | Sbalit | Link | Blokovat | Admin
Nic to ovšem nemění na tom, že HTTP/2 je zbytečně složitý. A proto přitahuje chyby. A ještě mnoho dalších chyb se v budoucnu v různých implementacích najde.

Kde jsou ty časy, kdy web strandardy byly jednoduché, a relativně snadno implementovatelné. Napsat dnes funkční web browser je spíše na tým lidí a doktoráty z atomové fyziky.

Dnes je všechno kome webu "overbastarded". HTTP/2, HTML 5, CSS 3, JavaScript, atd.
BWPOW avatar 16.8. 18:46 BWPOW | skóre: 21 | Kosice
Rozbalit Rozbalit vše Re: HTTP/2
Suhlasim. Netyka sa to webu, ale dnes mnoho inych oblasti. Napriklad aj IPv6. Ja by som bol za to, aby bola vzdy povinne ako sucast standardu aj referencna implementacia urcena pre nejaky Cortex M0 alebo ATMegu. Ak to nie su schopni naimplementovat na toto zelezo (hoci aj pomaly beziace), tak je to cele "overbasterded".
Prisiel som, videl som, hmm ... bwpow.eu
16.8. 19:12 Miloslav Ponkrác
Rozbalit Rozbalit vše Re: HTTP/2
Tohle můžu jenom podepsat.
16.8. 19:14 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: HTTP/2

K vašemu povzdechu bych dodal, že HTTP/2 je už zoufale zastaralý. Dnes se všichni těší na světlé zítřky s HTTP/3.

16.8. 21:00 Miloslav Ponkrác
Rozbalit Rozbalit vše Re: HTTP/2
Což dopadne tak, že na světě bude existovat jediný web browser. A webové stránky budou vypisovat: "Běžíme pouze na Chrome, pořiďte si ho, jinak nebude náš web fungovat."
17.8. 10:52 mc
Rozbalit Rozbalit vše Re: HTTP/2
To je optimistický výhled. Následovat pak bude již jen jediný web. Slovo Internet bude nahrazeno slovem Google (až porazí či dojde k fúzi s dalšími podobnými jako je Microsoft, Apple, Facebook a Amazon).
17.8. 12:12 R
Rozbalit Rozbalit vše Re: HTTP/2
Internet bude nahradeny Facebookom. Po zapnuti PC sa elektronickym obcianskym preukazom prihlasis na Facebook a vsetko bude tam.
17.8. 20:37 Miloslav Ponkrác
Rozbalit Rozbalit vše Internet je Google
On bohužel internet už je Google. Google przní internetové standardy i web na všech frontách kam oko dohlédne.
16.8. 21:34 debian+
Rozbalit Rozbalit vše Re: HTTP/2
xkucf03 avatar 16.8. 22:26 xkucf03 | skóre: 48 | blog: xkucf03
Rozbalit Rozbalit vše Re: HTTP/2

Na původně jednoduchý protokol, který bylo snadné implementovat nebo psát jeho příkazy ručně v telnetu/socatu, se nabalují další a další věci a stává se z toho neskutečná obludnost. Dementní je na tom také to, že spousta věcí začala používat HTTP jako svůj transportní protokol, kvůli NATu a firewallům, takže se ty vrstvy akorát přeskládaly, aniž by to mělo nějaký reálný přínos. IT akorát řeší problém, který si samo vytvořilo.

Co by vlastně bylo špatného na to, kdyby webová aplikace mohla používat surové TCP/UDP/SCTP? Stačilo by akorát implementovat obdobu CORS (Cross-Origin Resource Sharing), aby nedocházelo k nechtěným spojením, ale to je víceméně všechno, co by ten standard/protokol musel řešit. Jinak by to zůstalo krásně jednoduché jako původní HTTP. Kdo by si chtěl posílat datagramy, tak by si je posílal.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-DK, Relational pipes
16.8. 23:05 adqqa
Rozbalit Rozbalit vše Re: HTTP/2
Nezavisle od protokolu potrebujes nieco ako identifikator ciela (URI), verziu protokolu, Host (kvoli CORS), obycajne aj nieco specificke pre uzivatela (Cookie). Niekomu sa hodi aj urcenie, co za klienta k nemu pristupuje, kedze kazdy klient ma inu implementaciu (User-Agent). A hura, vynasli sme mierne zjednoduseny HTTP protokol. Oplati sa to implementovat znovu?
xkucf03 avatar 17.8. 20:45 xkucf03 | skóre: 48 | blog: xkucf03
Rozbalit Rozbalit vše Re: HTTP/2

Tady jde spíš o to, že spousta věcí, která se dřív řešila jinými protokoly, se předělala na HTTP – kdyby šlo z prohlížeče navazovat i ne-HTTP spojení, tak by se nic předělávat nemuselo.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-DK, Relational pipes
17.8. 22:07 debian+
Rozbalit Rozbalit vše Re: HTTP/2
Z prehladava sa da i cez nie HTTP spojenie cez WebSocket.
xkucf03 avatar 19.8. 16:46 xkucf03 | skóre: 48 | blog: xkucf03
Rozbalit Rozbalit vše Re: HTTP/2

Jednak WebSocket je rozšíření HTTP protokolu a jednak nejde až tak o to, podporovat jeden jiný protokol odlišný od původního textového HTTP. Jde o to, že by ses mohl připojit třeba k IMAPu nebo Jabber/XMPP serveru, aniž by se tato komunikace musela přebalovat do HTTP.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-DK, Relational pipes
19.8. 16:19 Miloslav Ponkrác
Rozbalit Rozbalit vše Re: HTTP/2
Nezavisle od protokolu potrebujes nieco ako identifikator ciela (URI), verziu protokolu, Host (kvoli CORS), obycajne aj nieco specificke pre uzivatela (Cookie). Niekomu sa hodi aj urcenie, co za klienta k nemu pristupuje, kedze kazdy klient ma inu implementaciu (User-Agent). A hura, vynasli sme mierne zjednoduseny HTTP protokol. Oplati sa to implementovat znovu?
Pokud mám absolutní URI, tak nepotřebuji Host, ten je už součástí URI adresy. Namísto Cookie stačí jednoduché číslo jako identifikátor sezení. A to je celé. Číslo verze se do binárního protokolu vejde jako 2bajty třeba.
xkucf03 avatar 19.8. 16:44 xkucf03 | skóre: 48 | blog: xkucf03
Rozbalit Rozbalit vše Re: HTTP/2

Mimochode: myslím, že už před hodně lety tu byl návrh serializace HTTP protokolu v ASN.1 resp. některé z jeho binárních forem. A ASN.1 je něco, co prohlížeče musí tak jako tak podporovat, protože se to používá v SSL/TLS (a na spoustě jiných míst, akorát o tom lidi většinou neví).

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-DK, Relational pipes
20.8. 15:29 Filip Jirsák | skóre: 67 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: HTTP/2
Cookies se používají i k jiným věcem, než jen jako identifikátory sezení.
20.8. 16:18 Miloslav Ponkrác
Rozbalit Rozbalit vše Re: HTTP/2
A ty jiné věci nejsou v tomto případě potřeba.
20.8. 18:21 Filip Jirsák | skóre: 67 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: HTTP/2
Ano, pokud byste vymýšlel vlastní protokol, opravdu nepotřebujete cookies, protože stejnou funkcionalitu můžete nazvat i jinak. Ale třeba identifikaci uživatele, který tu „webovou“ službu volá, byste asi chtěl mít i tom vlastním protokolu, bez ohledu na to, jak byste to nazval.
16.8. 21:42 debian+
Rozbalit Rozbalit vše Re: HTTP/2
+ napr. WebSocket, WebAssambly, XML + a kniznica na generovanie, FTP. Samozrejme musi podporovat aj starsie HTTP 1.0 a HTTP 1.1.
xkucf03 avatar 16.8. 22:28 xkucf03 | skóre: 48 | blog: xkucf03
Rozbalit Rozbalit vše Re: HTTP/2
+ ASN.1 pro SSL/TLS :-)
Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-DK, Relational pipes

Založit nové vláknoNahoru


ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.