Что происходит, когда Flash получает доступ к ресурсу https? - PullRequest
Новая
       27

Что происходит, когда Flash получает доступ к ресурсу https?

0 голосов
/ 07 ноября 2010

Если SWF, расположенный на http://example.com/test.swf, отправляет запрос на https://secure.com/webservice.xml,, что происходит? В документации Adobe по файлам междоменной политики отмечен атрибут «secure».

безопасный: [только HTTPS и сокеты, необязательный] Указывает, является ли доступ предоставляется только для HTTPS документов из указанное происхождение (верно) или для всех документы от указанного происхождения (ложный). Если безопасный не указан в файл политики HTTPS, по умолчанию правда. Использование false в политике HTTPS файл не рекомендуется, потому что это ставит под угрозу безопасность, предлагаемую HTTPS; например, позволяя атаки «человек посередине», чтобы получить доступ к данным HTTPS, защищенным файл политики.

Означает ли это, что проигрыватель Flash на самом деле выполняет HTTP-запрос, а не HTTPS? Является ли проблема презумпцией меньшего доверия к файлам .swf, обслуживаемым из незащищенного домена? Если Flash-плеер делает правильный запрос SSL, я не вижу, откуда взялась дополнительная уязвимость «человек посередине». И если этого не произойдет, я думаю, что веб-сервер, вероятно, будет настроен на его отклонение.

1 Ответ

1 голос
/ 06 марта 2011

Неа. Если для атрибута secure установлено значение false, приложение Flash не выполнит запрос http. Это сделало бы https запрос к источнику, который опубликован через https. Но основная идея заключается в том, что этот атрибут, установленный на false, позволяет Flash устанавливать соединения с другими http ресурсами. Атака «Человек посередине» может быть совершена в этот момент. Представь себе ситуацию. Ваше приложение Flash загружает некоторые документы из https и обрабатывает их на каком-либо веб-сервере, используя его API, но через http, не защищенное соединение. Данные, загруженные из https, будут передаваться Flash на веб-сервер через простой http. Если для атрибута secure установлено значение true, это скажет Flash, что документы из https требуют защиты. И Flash больше не будет делать простой запрос http с того времени, потому что данные из https могут быть вставлены в эти небезопасные запросы программным алгоритмом.

...