Sicherheits-Problem: IE-History "cached" Zugangs-Passworte

[n.d. parker]

Moin,

in ASP "<% Response.Expires = -1 %>" -> beim absenden vom server ist die page sozusagen schon verfallen.

was wird vom ASP dann fuer den expires-Header eingesetzt? -1? Das produziert dann einen ungueltigen HTTP-Header.

*Erlaubt* ist nur ein "HTTP-Date", also eine konkrete Datumsangabe in einem bestimmten Format. Und dann ist fuer das Expires-Modell ein zusaetzlicher Date-Header notwendig, damit der Client etwas zum vergleichen hat:

C:>perl -MCGI=header -e "print header (-expires => 'now')" x=y
Expires: Mon, 16 Jul 2001 00:23:20 GMT
Date: Mon, 16 Jul 2001 00:23:20 GMT
Content-Type: text/html

(x=y, um die Parameterabfrage von CGI.pm zu unterdruecken)
(aeh, irgendwelche Uhren gehen hier falsch ;-)

*Geduldet* ist Expires: 0
welches den gleichen Effekt haben sollte

Quelle:
http://www.faqs.org/rfcs/rfc2616.html

PS: der IE ist gut...sehr gut sogar..wenn nicht gar der beste (und supermegagigagenial, wenn man activeX deaktiviert)

nun ja, HTML darstellen kann er halbwegs. Als HTTP-Client ist er eine glatte Niete.

Bio: Cachen *sicher* verhindern ist unmoeglich. Der Client macht eh, was er will (und wenn es ein bloeder Proxy ist...)
Tip: Sessions verfallen lassen.

Viele Gruesse,

n.d.p.