जावास्क्रिप्ट टिप्पणियां सुरक्षा जोखिम हैं?

Question

एक recient पीसीआई लेखा परीक्षा के दौरान लेखा परीक्षक ने कहा कि हम प्रमुख सुरक्षा जोखिम था, क्योंकि

1. यह ऐसी छवियों सीएसएस और जावास्क्रिप्ट पूर्व प्रमाणीकरण के बिना के रूप में हमारी वेबसाइट से निश्चित संसाधनों डाउनलोड करने के लिए संभव था।
2. हमारे जावास्क्रिप्ट में इसमें टिप्पणियां थीं।

व्यक्तिगत रूप से मुझे लगता है कि यह एक सुरक्षा जोखिम नहीं है। छवियों सीएसएस और जावास्क्रिप्ट जहां गतिशील रूप से नहीं बनाया गया है और उनमें हमारे बैकएंड, हमारे ग्राहक विवरण और तंत्र पर कोई डेटा नहीं है।

जावास्क्रिप्ट के भीतर टिप्पणियां बस यह बता रही थी कि जावास्क्रिप्ट फ़ाइल में क्या तरीके हैं। जो भी जेएस पढ़ता है वह वैसे भी पता चला होगा।

यह कैसे दिखाता है "information leakage"?

जावास्क्रिप्ट के भीतर टिप्पणियां वास्तव में सुरक्षा जोखिम हैं?

Answer 1

प्रमाणीकरण के बिना ऑडिट, छवियों को डाउनलोड करने आदि के आधार पर सुरक्षा जोखिम के रूप में देखा जा सकता है (आरेख, चार्ट, आलेख ...) सोचें।

जावास्क्रिप्ट में टिप्पणियां हटाने की तरह कोड को खराब करना है: यह थोड़ा कठिन बनाता है, लेकिन यह समझना असंभव नहीं है कि क्या हो रहा है। जावास्क्रिप्ट को केवल वैसे ही बढ़ाने के रूप में देखा जाना चाहिए, आपकी सभी सुरक्षा सर्वर-साइड पर (डुप्लिकेट) होनी चाहिए। किसी को यह समझने के बाद कि जेएस को जोखिम नहीं माना जाना चाहिए।

Answer 2

अगर वे सुरक्षा जोखिम हैं या नहीं, इन्हें उत्पादन के माहौल पर अपने जेएस को कम करने के बिना, यह "सूचना रिसाव" को रोक देगा और आपकी वेबसाइट की जानकारी सुरक्षित करने के लिए (कम से कम किसी भी तरह से) मदद करेगा। सुरक्षा जोखिम के संबंध में

, मुझे नहीं लगता कि जेएस टिप्पणियां बिल्कुल जोखिम हैं, हर वेबसाइट सामग्री (स्थैतिक) प्रमाणीकरण के बिना डाउनलोड की जा सकती है। (अन्यथा परिभाषित किए जाने तक)

Answer 3

नहीं, अगर वे केवल यह बताते हैं कि कोड कैसे काम करता है। किसी भी पर्याप्त रूप से निर्धारित व्यक्ति को वैसे भी मिल सकता है।

ने कहा, यह शायद जावास्क्रिप्ट को कम करने का एक अच्छा विचार है; सुरक्षा की वजह से नहीं, बल्कि क्योंकि यह डाउनलोड के समय को कम करेगा और इसलिए आपकी साइट को थोड़ा अधिक उत्तरदायी बना देगा।

Answer 4

जावास्क्रिप्ट टिप्पणियां हो सकती हैं। आपके तर्क पर निर्भर करता है, लेकिन निश्चित रूप से यह सार्वजनिक रूप से उपलब्ध है, इसलिए आप अपने कोड के कार्यकलापों को और अधिक दृश्यता दे रहे हैं।

इसे हटाने के अन्य कारण भी हैं, जैसे फ़ाइल आकार, और परिणामस्वरूप डाउनलोड आकार।

उपकरण ऐसे asd JSMin कोड को हटाने और कोड के कच्चे अपवित्रता से बचने में आपकी सहायता कर सकते हैं।

Answer 5

यह टिप्पणी की सामग्री पर निर्भर करता है। क्योंकि मानव हस्तक्षेप के बिना, टिप्पणियों की सामग्री की जांच करने के लिए कोई रास्ता नहीं है, यह निर्धारित करने के लिए कि वे जोखिम भरा हैं या नहीं, इसका ऑडिट करने का सबसे प्रभावी तरीका क्लाइंट-फेस स्रोत कोड में सभी टिप्पणियों को जोखिम भरा होने के लिए घोषित करना है।

निम्नलिखित संभावित जोखिम भरा टिप्पणियों के उदाहरण हैं।

// doesn't really authenticate, placeholder for when we implement it. 
myServer.authenticate(user,pass); 

या

// don't forget to include the length, 
//the server complains if it gets NaN or undefined. 
function send_stuff(stuff, length) { 
... 
} 

या

function doSomething() { 
    querystring = "" 
    //querystring = "?TRACING_MODE=true&" 
    ... 
    //print_server_trace(); 
} 

एक अन्य उदाहरण है अगर आप एक स्रोत कोड इतिहास हेडर को शामिल, किसी के प्रकार का परीक्षण करके कुछ सुरक्षा कमजोरी खोजने के लिए सक्षम हो सकता है हो सकता है तय की गई बग। कम से कम, एक क्रैकर अपने हमलों को बेहतर ढंग से लक्षित करने में सक्षम हो सकता है, अगर वह जानता है कि कौन से हमले वाले वैक्टर पहले ही बंद हो चुके हैं।

अब, ये सभी उदाहरण वैसे भी खराब प्रथाएं हैं (टिप्पणियां और कोड दोनों), और इसे रोकने के लिए सबसे अच्छा तरीका कोड समीक्षा और अच्छे प्रोग्रामर होने से है। पहला उदाहरण विशेष रूप से खराब है, लेकिन दूसरी टीम की तरह, या आपकी टीम के साथी के लिए निर्दोष चेतावनी, तीसरे की तरह, डिबगिंग कोड की टिप्पणी, नेट सुरक्षा के माध्यम से सुरक्षा छेद के प्रकार हैं।