Проблема безопасности при доступе к файлам jar

Недавно у нас был аудит безопасности, который обнаружил уязвимость в нашей системе. У нас есть пользовательский очень простой веб-сервер, который мы используем для обслуживания ресурсов (html-файлы справки, изображения, файлы jar).Проблема безопасности при доступе к файлам jar

У нас есть Java Webstart, jnlp создается на сервере и при загрузке в браузере он вызывает наш веб-сервер для загрузки файлов jar, необходимых ему для приложения. В конце, когда приложение запускает окно входа в систему, пользователь запрашивает.

Но вы можете ввести в браузере и загрузить любую из банок, которые jnlp делает за сценой, и этот факт считается уязвимостью безопасности. Основная проблема заключается в том, что пользователь, не прошедший аутентификацию, может получить доступ к нашим файлам jar без наличия действительной учетной записи.

Мой вопрос будет: 1. этого требование уязвимости оправданна, так как файл банка необходимо достичь клиентской машины перед экраном входа в системе 2. Если опасения оправданы, как я могу обеспечить доступ к банку приложения файлы?

Спасибо - Marius

источник

2012-03-13 Evariste Galois

На каком веб-сервере вы работаете? – bsimic

Если это уязвимость системы безопасности, вы уверены, что хотите обсудить ее публично?/Если код будет запущен за пределами вашей сети, его нужно будет открыть (он может быть запутан, но не думайте, что это действительно представляет собой безопасность). Даже в веб-браузерах вы можете просмотреть исходный код JavaScript (попытка отключить ctrl-U и щелчок правой кнопкой мыши не очень эффективен). –

Это простой веб-сервер, который сделан ih-house, и это одна из причин, по которым мы пока не рассматривали безопасность. –

Не зная, что вы в конечном итоге пытается защитить, я не знаю, обнажая JNLP ресурсов является уязвимость. Однако, если вам абсолютно необходимо ограничить доступ к ресурсам JNLP для пользователей, прошедших проверку подлинности, я считаю, что вы можете провести весь сеанс Java Web Start через SSL с взаимной аутентификацией. Конечно, это означает обмен сертификатами и установку для обеих сторон.

источник

2012-03-14 05:33:49

Я знаю о взаимной аутентификации, но он слишком силен для того, что мне нужно в этом случае. Не хотите достигать процесса создания клиентских сертификатов и установки клиентами этих сертификатов. Скорее, я направлял что-то промежуточное, но мне кажется, что мне нужно сосредоточиться на запутывании баннеров/шифровании файла jnlp, а не на невозможности их загрузки. –

Я вижу. Знаете ли вы, что политика безопасности в песочнице JWS позволяет добавлять к загрузчику классов? –

Проблема безопасности при доступе к файлам jar

ответ

Смежные вопросы