mboost-dp1

SXC - flaivoloka

Alvorligt sikkerhedshul fundet i ASP.Net

- Via Application Development Trends - , redigeret af Net_Srak , indsendt af arne_v

Anvender man form-autentifikation i sin hjemmeside lavet med ASP.NET, er man ifølge to sikkerhedseksperter, Thai Duong og Juliano Rizzo, i fare for at kunne få uønsket besøg på sin side.

Duong og Rizzo har fundet ud af, at hvis man anvender standard-metoden til at kryptere cookies, så kan nøglen findes inden for 30 til 50 minutter. Det sker ved konstant at ændre Form-autentifikation-cookien og så undersøge den fejlmeddelelse, serveren melder tilbage; det vil til sidst give nok information til at kunne danne nøglen.

Med nøglen til cookien kan uvedkomne personer lave falske Form-cookies, og i værste tilfælde, hvis sitet anvender rolle-informationer i deres cookies, give angriberen administrator-adgang til siden.

Fejlen skyldes en fejlimplementering af krypteringen, hvorfor det ikke er nok blot at skifte til en anden algoritme som f.eks. 3DES eller MARS. Microsoft anbefaler at reducere mængden af informationer, der sendes retur ved en fejl, så en angriber ikke kan samle nok data til at gennemføre angrebet.





Gå til bund
Gravatar #1 - p1x3l
20. sep. 2010 08:45
og så siger man OUCH vis man ellers køre asp ... meget ironisk siden nyheden linker til gør det ... gu vide om der administrator accounts til at rette nyheder der .. ku godt finde på at tilføje ROFL i bunden¨

synes udover det er meget godt klaret af m$ at de har formådet at gøre AES usikkert -.-

men det vel lidt den pine de ved at komme i det skal være nemt så meget info i fejl som overhovdet muligt men vis de ikke tænker sig om hva info der er i fejlbeskeder sker det her jo
Gravatar #2 - cryo
20. sep. 2010 08:48
#1 En algoritme gør ikke et kryptosystem alene; der er mange aspekter, og der skal bare være en svaghed et enkelt sted før man kan komme i problemer. Det er ikke trivielt at designe kryptosystemer.
Gravatar #3 - mstify
20. sep. 2010 08:49
Man sender da ikke fejlinformation tilbage til klienten på et drift-system. Ergo, det er en storm i et glas vand.
Gravatar #4 - p1x3l
20. sep. 2010 08:50
#2 nej ved jeg godt har haft en del med det at gøre :) bla nogle webserver hvor de info der ligger på er krypteret og nøgler på andre servere og forskellige nøgler efter et vist regelset :) og det så en blanning af forskellige algoritmer prime number encryption og aes primært :)

og så nogle klienter til at serv de keys der ska bruges ... er underholdnde at lave

#3 meh ja det en god regel men hvor mange holder den lol (gør de fleste større sider heldigvis men ja ... det er en reel fejl)
Gravatar #5 - Ramius
20. sep. 2010 09:19
som 3 siger, lav en default fejl side således at brugeren ikke får data tilbage og så er "fejlen" fixed.
Gravatar #6 - Spaceus
20. sep. 2010 09:27
Jeg var lige ved at være nervøs indtil jeg så at det kun var hvis man ikke brugte custom errors.
Gravatar #7 - Cortz
20. sep. 2010 09:46
Hvis nogle var interesseret skriver The Gu også et par ord omkring det på hans blog: Important: ASP.NET Security Vulnerability
Gravatar #8 - Marci
20. sep. 2010 09:53
Er helt enig med #3, man ville aldrig sende disse informationer tilbage til klienten på en driftserver, så er der i hvert fald noget galt må man sige..

Der ud over godt link #7 sendte, der kan man lige hurtigt sætte sig ind i hvad det drejer sig om, og meget detaljeret, må man sige, vist hvordan man slår customerrors til, så dette slet ikke er noget problem..
Gravatar #9 - Nix
20. sep. 2010 11:16
Det her blev vi heldigvis også slået i hovedet med på studiet. Måske ikke helt specifikt denne fejl, men at man skal bruge customerrors, og hellere lave en fejllog, i stede for at sende fejlbeskeden tilbage til brugeren. Det er så simpelt at lave, men det er ret vigtigt, da man jo ikke kan vide, hvem der sidder i den anden ende.

Jeg vil næsten sige, at hvis det er en fejl, er det ligeså meget en fejl-40, som det er en bug fra Microsofts side.
Gravatar #10 - arne_v
20. sep. 2010 19:47
mstify (3) skrev:
Man sender da ikke fejlinformation tilbage til klienten på et drift-system. Ergo, det er en storm i et glas vand.


p1x3l (4) skrev:
#3 meh ja det en god regel men hvor mange holder den lol (gør de fleste større sider heldigvis men ja ... det er en reel fejl)


Spaceus (6) skrev:
Jeg var lige ved at være nervøs indtil jeg så at det kun var hvis man ikke brugte custom errors.


Marci (8) skrev:
Er helt enig med #3, man ville aldrig sende disse informationer tilbage til klienten på en driftserver, så er der i hvert fald noget galt må man sige..


DrHybris (9) skrev:
Det her blev vi heldigvis også slået i hovedet med på studiet. Måske ikke helt specifikt denne fejl, men at man skal bruge customerrors,


Tillykke.

I har lige bevist at selvom workaround bliver beskrevet er I ikke i stand til at læse og forstå teksten.

Det er ikke nok at bruge custom errors der skal redirectes til samme side for alle fejl for at workaround virker!
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login