JSF SSL Hazzard - PullRequest
Новая
       43

JSF SSL Hazzard

1 голос
/ 06 мая 2010

В моем приложении требуется, чтобы только некоторые страницы были защищены с помощью SSL, поэтому я настроил его 

security-constraint>
<display-name>Security Settings</display-name>
<web-resource-collection>
    <web-resource-name>SSL Pages</web-resource-name>
    <description/>
    <url-pattern>/*.jsp</url-pattern>
    <http-method>GET</http-method>
    <http-method>POST</http-method>
</web-resource-collection>
<user-data-constraint>
    <description>CONFIDENTIAL requires SSL</description>
    <transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>

и добавленный фильтр

http://blogs.oracle.com/jluehe/entry/how_to_downshift_from_https

но есть только одна опасность. Я использую ее с richFaces. как только он переходит к HTTPS, он не меняет страницу, я имею в виду, что если я выполняю действия после публикации, это на самом деле не происходит. но если я делаю это из локального браузера bmachine, он отлично работает из удаленного браузера, он зависает с HTTPS, после чего он не меняется

вот снимок моего web.xml 

<filter>
    <filter-name>MyFilter</filter-name>
    <filter-class>MyFilter</filter-class>
    <init-param>
        <param-name>httpPort</param-name>
        <param-value>8080</param-value>
    </init-param>
</filter>

<filter-mapping>
    <filter-name>MyFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected resource</web-resource-name>
        <url-pattern>somePattern</url-pattern>
        <http-method>GET</http-method>
  <http-method>POST</http-method>


    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

и некоторые другие фильтры richfaces.problem - это странно. Если я пытаюсь получить доступ к веб-приложению через браузер локальной машины, он работает нормально, но в браузере удаленной машины, как только он попадает в HTTP, все формы этой страницы, а также остановка href работает. (JSF, используется facelet.)

1 Ответ

1 голос
/ 06 мая 2010

В моем приложении требуется, чтобы только определенные страницы должны быть защищены используя SSL, поэтому я настроил его

Информация, предоставленная пользователем, - не единственное, о чем вам нужно беспокоиться. Короче говоря, вы пытаетесь достичь уязвимости.

В случае только это безопасно, если пользователь больше не аутентифицирован в вашем приложении. Сделав это, вы отправите свой идентификатор сессии в виде открытого текста. Идентификаторы сеанса используются для аутентификации браузеров, и если злоумышленник может получить это значение через XSS или перехватить строку, ему не понадобится имя пользователя / пароль.

Это наиболее часто неправильно понимаемая часть OWASP Top 10 2010 А3-сломанная аутентификация и управление сеансами

...