nicht angemeldet
Hi Odium,
im Netz gibt es ja noch verschiedene Leute, die ihre Seiten indirekt mit Javascript schützen. Nicht per mitgeliefertem Schlüssel, sondern einfach die variable + '.htm' in die location setzen lassen.
Gibt es dazu irgendwelche Tools, die per BruteForce oder Dictionary-Abgleich o.ä. testen, welche seiten in diesem offenen Verzeichnis liegen?
die Schwachstelle eines solchen "Schutzes" ist gar nicht der brute-Force-Angriff (welcher gegen HTTP Authentication ebenfalls möglich ist, wie gegen jedes gedächtnislose System), sondern die Gefahr, daß der gültige URL selbst irgendwo auf fremden Rechnern protokolliert wird - beispielsweise als Referrer in meinem Apache-Log, falls der Benutzer _nach_ dem Besuch Deiner Seite auf meine Seite wechselt und sein Browser meint, dabei Deinen URL aus Referrer senden zu müssen. Oder in den Log-Daten eines beliebigen Proxy-Servers auf der Strecke.
Der URL wird einfach viel öfter durch die Gegend geworfen und protokolliert als andere Teile des HTTP-Requests, etwa der Authentication-Header - das liegt einfach daran, daß der URL nicht als sicherheitsrelevantes Konzept entwickelt wurde.
Wer ihn als Passwort mißbraucht, darf sich nicht beschweren, wenn andere Teilnehmer des weltweiten Netzes nicht auf diese Idee kommen und beispielsweise über eine Referrer-Liste a la
http://webalizer.teamone.de/selfforum/ref_200301.htm
Deine "geheimen" Informationen veröffentlichen, ohne daß Du das überhaupt merkst.
Ich erinnere mich noch gut daran, wie ein System-Administrator einer der bekanntesten deutschen Technologiefirmen sich per Mail bei Stefan Münz über die Veröffentlichung dieser Referrer beschwert hat, weil dadurch "geheime interne Rechnernamen" veröffentlicht wurden ... auf die Idee, das Senden eines Referrers an der Schnittstelle zwischen Firmennetz und dem "wilden Westen", beispielsweise seinem Proxy-Gateway, zu unterbinden (also einfach seinen eigenen Job sorgfältig zu machen), war der Mensch natürlich nicht gekommen ...
Viele Grüße
Michael
T'Pol: I apologize if I acted inappropriately.
V'Lar: Not at all. In fact, your bluntness made me reconsider some of my positions. Much as it has now.