Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Новая атака на системы фронтэнд-бэкенд, позволяющая вклиниться в запросы, opennews (??), 07-Авг-21, (0) [смотреть все] Ой, ну надо же, http взломали, как удивительно Нет , Аноним (1), 12:32 , 07-Авг-21, (1) –11 // Ой, ну надо же отключать JS , Аноним (28), 18:05 , 07-Авг-21, (28) +5 // Идея хорошая, но вебмакаки понаделали js-only крапа И кстати это не поможет от , Аноним (-), 12:32 , 08-Авг-21, (83) +2 интересно кто самый дырявый - си или js, хакер (?), 19:57 , 07-Авг-21, (33) –7 // прокладку не рассматриваешь а ник у тебя - просто лэйбла такая , ананим.orig (?), 20:52 , 07-Авг-21, (42) +12 // Скорее всего проблема в помойке node репо библиотек для JS и культуре коммерческ, And (??), 11:53 , 08-Авг-21, (71) А может быть проблема в том что не надо код писать ж пой, качая половину интерне, Аноним (-), 12:37 , 08-Авг-21, (86) +1 Скрыто модератором, Anonymouse (?), 12:36 , 07-Авг-21, (2) +11 // Скрыто модератором, OnTheEdge (ok), 12:40 , 07-Авг-21, (4) +7 // Скрыто модератором, Аноним (16), 13:34 , 07-Авг-21, (16) +4 // Скрыто модератором, Аноним (19), 13:49 , 07-Авг-21, (19) –5 Скрыто модератором, Admin (??), 13:40 , 07-Авг-21, (17) +1 Уродство HTTP 2 таки выстрелило То ли ещё будет с HTTP много, которые вообще не , Онаним (?), 12:38 , 07-Авг-21, (3) +1   // Так-то выстрелило уродство HTTP1, если почитать новость , Аноним (11), 13:08 , 07-Авг-21, (11) +9   // Выстрелило уродство трансляции полубинарного уродства SPDY в HTTP , Онаним (?), 13:15 , 07-Авг-21, (14) +1   // О да, лучше нормальный plain-text HTTP, от которого, правда, все отказались в по, Аноним (22), 14:53 , 07-Авг-21, (22)   Да-да-да, стройными колоннами побежали и отказались, никто не стимулировал , Michael Shigorin (ok), 19:13 , 07-Авг-21, (30) –10   А кто стимулировал Серваки заимплементившие фичу и повышение скорости загрузки , Аноним (-), 12:39 , 08-Авг-21, (87)   Verisign, без вопросов отбирающий домены у оппозиционных СМИ Cloudflare, который, Аноним (22), 14:32 , 08-Авг-21, (120)   Это как И что этим СМИ мешает хостить сайты где-нибудь подальше от такой фирмы,, Аноним (-), 04:09 , 09-Авг-21, (128)   Внутри хытыпысы внезапно всё тот же гипертекстовый фидонет , Онаним (?), 20:43 , 07-Авг-21, (39)   То есть, если внутри бинарного кода буквы, то он уже не бинарный Ну тогда и HTT, Аноним (22), 01:22 , 08-Авг-21, (53)   Ты не понял SSL при обработке 1 1 разворачивается до исходного протокола, являя, Онаним (?), 09:16 , 08-Авг-21, (59)   То есть, если я в SNI напишу левое имя хоста, это никак не повлияет на работу HT, Аноним (22), 12:27 , 08-Авг-21, (81)   Нет Только на согласование соединения HTTP внутри декриптится до исходного в лю, Онаним (?), 13:39 , 08-Авг-21, (105)   Получается, SNI на практике ни на что не влияет, а значит - вообще не нужен Вот , Аноним (22), 14:13 , 08-Авг-21, (114)   Сфейспалмил SNI к HTTP - ВНЕЗАПНО - не имеет никакого отношения D, Онаним (?), 19:29 , 08-Авг-21, (123)   Веб сервак может иметь свое мнение на этот счет И кстати интересно, не вылезет , Аноним (-), 04:12 , 09-Авг-21, (129)   Веб сервак обычно только правильный сертификат подбирает, смотря на SNI , Аноним (-), 12:19 , 09-Авг-21, (142)   Не обязательно См пример на том сайте как это bitbucket делал, там могли бэку , Аноним (102), 13:32 , 08-Авг-21, (102)   Подшивать к TLS можно чего угодно - проблемы ССЗБ шерифа не волнуют Важно то, чт, Онаним (?), 13:40 , 08-Авг-21, (106)   Однако вон те хаксоры вполне себе стырили внутренние хидеры и в конце концов тож, Аноним (-), 04:15 , 09-Авг-21, (130)   А вот из H2 H1 простой трансформацией уже не получить, что и есть источник пробл, Онаним (?), 13:41 , 08-Авг-21, (107)   Для преобразования HTTP 2 же в HTTP 1 по сути требуется полная реконструкция, пр, Онаним (?), 09:17 , 08-Авг-21, (60)   Именно А разрабы попытались таки не делать нормально и попробовали частично 2 о, And (??), 11:56 , 08-Авг-21, (72) +1   Ну да, казалось бы должна была быть просто трансформация, потому что разработан, Онаним (?), 12:00 , 08-Авг-21, (74)   всех отказали тогда уж не переживай, будет и 3-я, и 4-я волна это же удобно , ананим.orig (?), 20:56 , 07-Авг-21, (43)   Это рукожопость разработчиков прокси ибо такие атаки очевидны и им сразу же нужн, all_glory_to_the_hypnotoad (ok), 17:03 , 07-Авг-21, (25) +1   // Это рукожопость разработчиков бинарного протокола, которые решили, что те же CRL, Онаним (?), 20:44 , 07-Авг-21, (40)   упреждая угу, бинарному протоколу фиолетово но забыли о сути HTTP - передача , Онаним (?), 20:46 , 07-Авг-21, (41)   Для эпичного ламо намекну там упомянуты варианты этих атак работающие на чистом, Аноним (-), 12:45 , 08-Авг-21, (89) +2   Если уж совсем просто - H2 не стоило называть HTTP 2, это не HTTP , Онаним (?), 13:43 , 08-Авг-21, (108)   Вообще-то там текстовость HTTP 1 1 дурят жестко и это проблема HTTP1 А если тот , Аноним (-), 12:44 , 08-Авг-21, (88) +3   // H2 на бэках конкретно у нас упорно не приживается Основная причина - возможность, Онаним (?), 13:36 , 08-Авг-21, (104)   // Жирные корпы тоже, вот, думали сэкономить Некоторые даже конопатили эти CVE раз, Аноним (-), 04:37 , 09-Авг-21, (131)   Т е они одним сплошным потоком байтов слали подряд разные запросы а потом надея, Аноним (5), 12:42 , 07-Авг-21, (5) –1 // они читали много статей где п-делось о страшных и ужастных ЗАДЕРЖКАХ при открыти, пох. (?), 12:49 , 07-Авг-21, (6) –2 // так разве для HTTP 1 0 не открывается новое соединение на каждый запрос или это , kissmyass (?), 20:14 , 07-Авг-21, (35) // Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная опер, Онаним (?), 20:43 , 07-Авг-21, (38) ну тогда либо прокси должен валидировать HTTP заголовки либо пусть форсит открыт, kissmyass (?), 21:56 , 07-Авг-21, (47) Многие проморгали, потому что гугели свой SPDY в виде H2 запихивали в индустрию , Онаним (?), 09:49 , 08-Авг-21, (63) Дело тут не в открытых сессиях сессии надо и в QUIC отслеживать, то есть это не, anonymous (??), 11:57 , 08-Авг-21, (73) причем и то и другое копеечные операции по сравнению с ожиданием модного-совреме, пох. (?), 11:05 , 08-Авг-21, (64) –1 Не, ну там основной идеей вмазывалось мыжыможым статический коньтент подгрузить, Онаним (?), 11:15 , 08-Авг-21, (65) ЗАДЕРЖКИ уминядвепалоски то что они миллисекундные на фоне _секунд_ как, пох. (?), 11:26 , 08-Авг-21, (69) –1 И тем не менее, кпд канала может получиться довольно издевательским Особенно ес, Аноним (-), 04:41 , 09-Авг-21, (132) +1 Самое же прекрасное, что у этих же почитателей смузи в итоге статический коньтен, Онаним (?), 11:16 , 08-Авг-21, (66) и вот там уже задержки вполне видны, поскольку это новая tls сессия на каждый jq, пох. (?), 11:24 , 08-Авг-21, (68) –1 Не совсем Ведет к выделению ресурсов на сокет в операционке, а закретие соедине, Аноним (-), 12:48 , 08-Авг-21, (90) Ну я как бы в курсе, в практике и 1000 запросов в секунду на динамику - не преде, Онаним (?), 13:31 , 08-Авг-21, (101) Теоретически да Практически - установка и завершение TCP все же не халявные, и , Аноним (-), 04:47 , 09-Авг-21, (133) Про chunked пожалуй соглашусь, данное счастье требует некоторой аккуратности С д, Онаним (?), 13:34 , 08-Авг-21, (103) Это судя по виду лишь усиленная и заапгрейженая версия атак которые они на HTTP , Аноним (-), 04:48 , 09-Авг-21, (134) Полное вымирание сайтов http - вопрос времени, Аноним (7), 12:52 , 07-Авг-21, (7) // Они как умные клавы решили смухлевать и прицепить HTTP 1 бэк малой кровью При т, Аноним (-), 12:56 , 08-Авг-21, (91) Скрыто модератором, Аноним (8), 12:57 , 07-Авг-21, (8) –4 // Скрыто модератором, Аноним (22), 14:55 , 07-Авг-21, (23) Радует пока одно у меня на фронтах немолодёжный haproxy, новый парсер которого , Онаним (?), 12:59 , 07-Авг-21, (9) // нет ножек ненужно 2 - нет проблемы P S обратить внимание на нашествие в комме, пох. (?), 13:04 , 07-Авг-21, (10) –1 // Я бы им вместо http sip с rtp посоветовал, но жалко бедняжек , Онаним (?), 13:13 , 07-Авг-21, (12) Фига, пох сам себя, затарил, не в бровь а в глаз , Аноним (-), 13:28 , 08-Авг-21, (100) +1 Переходи на Traefik, Alexey Chernyavskiy (?), 19:14 , 07-Авг-21, (31) // Пасибо, я столько смузи в одно рыло не сожру , Онаним (?), 20:40 , 07-Авг-21, (37) +2 // тогда переходи на Envoy, онанимус (?), 23:01 , 07-Авг-21, (48) +1 Не, там думать надо , Аноним (22), 01:20 , 08-Авг-21, (52) Когда смузихлёбы добираются до C - у них выходит ещё хуже, чем если бы они на св, Онаним (?), 09:22 , 08-Авг-21, (61) Разработчики haproxy с вами не согласятся, судя по тому, что они пилят dataplane, Аноним (22), 12:30 , 08-Авг-21, (82) Абсолютно угрёбищный конфиг умноженный на абсолютно угрёбищную документацию - да, Онаним (?), 09:24 , 08-Авг-21, (62) +1 Когда-нибудь вы уйдёте в High Load и в такой, где нужны submillisecond ответы от, anonymous (??), 12:02 , 08-Авг-21, (75) Не жрите больше столько, умоляю High Load - это не субмиллисекундные ответы, да, Онаним (?), 12:12 , 08-Авг-21, (79) Но да, раз уж мы заговорили о хайлоудах - я прекрасно знаю как оно у смузихлёбов, Онаним (?), 12:24 , 08-Авг-21, (80) +3 У микросервисов есть ряд очевидных плюсов Как то декомпозиция задачи и перевод , Аноним (-), 13:25 , 08-Авг-21, (97) Да, большой монолит сложнее поддерживать Но жесть в том, что менять рост сложно, Онаним (?), 13:48 , 08-Авг-21, (109) Он склонен превращаться в большое месиво Которое к тому же скорее всего больше , Аноним (-), 04:55 , 09-Авг-21, (135) короче я мыслью по древу растёкся, но основная мысль была в том, что овердекомп, Онаним (?), 13:49 , 08-Авг-21, (110) Для проектов уровня приветмир интернет-магазина Васян сейлз - да Как говори, Аноним (22), 14:44 , 08-Авг-21, (121) Программа перестаёт быть простой и маленькой ровно тогда, когда она становится с, айпони одобряет микросервисы (?), 15:52 , 09-Авг-21, (143) +1 Не ясно, в чём разница со стороны логики приложения, сравнивая stdin stdout межд, Аноним (147), 21:37 , 09-Авг-21, (147) Разница как раз в той самой latency, с которой потом героически начинают боротьс, Онаним (?), 20:24 , 17-Авг-21, (160) До декомпозиции на микросервисы была декомпозиция на отдельные взаимодействующие, www2 (??), 08:20 , 10-Авг-21, (152) Сам вопрос уже некорректен, потому что из тысячи мелконедосервисов получится два, Онаним (?), 20:25 , 17-Авг-21, (161) Микросервисы - это попытка хоть как-то разрулить поделки обезьянок-неосиляторов , Онаним (?), 20:26 , 17-Авг-21, (162) Это надо внести в луддитско-свитеро-бородные анналы , gvx (?), 15:13 , 08-Авг-21, (122) Монолиты разные бывают Можно каждые 2 2 в микросервис вытягивать А можно целый к, Онаним (?), 19:50 , 08-Авг-21, (127) Вот только envoy тут не при чем Он - в основном про возможность конфигурировани, Аноним (22), 12:32 , 08-Авг-21, (84) Да и haproxy в рантайме нормально реконфигурится, если уж честно-то Кое-что можн, Онаним (?), 13:26 , 08-Авг-21, (98) Нет Достаточно переконфигурировать хотя бы несколько раз в секунду вполне типи, Аноним (22), 14:10 , 08-Авг-21, (112) s бэкендов серверов в бэкенде , конечно же , Аноним (22), 14:10 , 08-Авг-21, (113) Количество слотов да, но вот это как раз дёргается через реконфиг, если ОЧЕНЬ на, Онаним (?), 19:36 , 08-Авг-21, (125) Раз в секунду Как правило если такое начало требоваться - самое время что-то в к, Онаним (?), 19:30 , 08-Авг-21, (124) А зачем это менять раз в секунду Чтобы прострелить себе пятку, а потом продать , Аноним (-), 04:59 , 09-Авг-21, (136) Могли бы и не повторять, выше же написаноЕсли что-то по своей сложности превосхо, Аноним (22), 12:35 , 08-Авг-21, (85) В новости про атаки - примерно так Чем сложнее и оверинженернутее нечто, тем бо, Аноним (-), 13:21 , 08-Авг-21, (96) +1 Примерно да Оверинжениринг и овердекомпозиция кажутся простыми на этапе первичн, Онаним (?), 13:51 , 08-Авг-21, (111) Сам по себе HTTP 2 в этом плане кстати не такой уж оверинженернутый, хотя mandat, Аноним (-), 05:07 , 09-Авг-21, (138) Но эволюция, а впоследствии - и прогресс, почему-то упорно порождают все более у, Аноним (22), 14:21 , 08-Авг-21, (116) –1 состоящие из простых систем Отказ каждой из которых в отдельности вообще пох, Аноним (-), 05:05 , 09-Авг-21, (137) Оно именно что не по сложности превосходит, а по угрёбищности То есть мнимая сло, Онаним (?), 13:28 , 08-Авг-21, (99) Ну, для вас, похоже, 1 1 - норм, 2 2 - сложно, а 2 3 - угрёбищно А уж 5 6 вообще, Аноним (22), 14:16 , 08-Авг-21, (115) В случае смузихлёбов я бы поставил на скачивание лефтпада для 1 1 и 2 2, а в слу, Онаним (?), 19:38 , 08-Авг-21, (126) ---От учащихся старших школ high schools, аналог наших старших классов средней , Michael Shigorin (ok), 21:54 , 10-Авг-21, (153) –2 Ссылка на производное ботофермы, которое маскируется под другого пользователя - , Онаним (?), 23:17 , 10-Авг-21, (154) +1 Охренеть, плюсовики хайпуют Явно покусаные гуглем - include stdbullshit и да, Аноним (-), 13:12 , 08-Авг-21, (92) –2 Поздравляю вас с этим, и рекомендую немедленно обновитьсяhttps git haproxy org, Аноним (22), 19:10 , 17-Авг-21, (156) +1 // У меня за фронтом такой же не менее немолодёжный H1, поэтому меня эти пляски с у, Онаним (?), 20:05 , 17-Авг-21, (157) Хотя конечно да, есть определённый мысли вообще убрать ALPN h2 с фронтов, ибо не, Онаним (?), 20:06 , 17-Авг-21, (158) // определённый позыв определённые мысли, Онаним (?), 20:07 , 17-Авг-21, (159) Оверинженеринг в действии, Отражение луны (ok), 13:14 , 07-Авг-21, (13) +1 // Это как раз недоинженеринг, т е когда осилили работу с простым протоколом HTTP , all_glory_to_the_hypnotoad (ok), 17:06 , 07-Авг-21, (26) +2 // HTTP 1 вообще более сложен в проверках и sanity check В том числе и из-за специ, Аноним (-), 13:13 , 08-Авг-21, (93) +2 Больше похоже на идиотизм тащить части старого протокола в новый протокол Нару, And (??), 12:03 , 08-Авг-21, (78) // Они настолько понимали, что по ывали даже и чистый HTTP 1 1 используя разное ег, Аноним (-), 13:18 , 08-Авг-21, (95) +2 // Между фронтом и бэком и на ф и на б как раз не было знавших и понимавших, или , Аноним (147), 14:26 , 08-Авг-21, (117) Более вероятно что 1 Это были 2 тотально разные команды, плохо или никак взаи, Аноним (-), 05:28 , 09-Авг-21, (141) Ну так нгингс подвержен или нет Где исправления , Аноним (15), 13:19 , 07-Авг-21, (15) +1 // Если я правильно прочитал changelog к 1 21 1, то это как раз оно http nginx or, edo (ok), 13:41 , 07-Авг-21, (18) +1 // Проверил на Nginx 1 20 не включающем правки от 6 июля заголовок Transfer-Enco, Sage (??), 03:32 , 08-Авг-21, (55) +2 // чем генерировали запросы curl ом у меня не всё получается, edo (ok), 04:46 , 08-Авг-21, (57) На скорую руку отредактировал бинарник курла и libcurl-4 dll, заменив там первую, Sage (??), 11:19 , 08-Авг-21, (67) Ммм хакир Т е HTTP 2 стал внаглую рассылать Transfer-Encoding как HTTP 2, Аноним (-), 05:23 , 09-Авг-21, (140) Теперь все будут топить за закопать http и перейти на websocket , Аноним (24), 15:52 , 07-Авг-21, (24) // WebSocket работает поверх HTTP , anonymous (??), 12:03 , 08-Авг-21, (77) –1 Не волйнутесь, сейчас Гугл быстренько придумает HTTP3 ой, нет, наверное уже HT, Kuromi (ok), 17:35 , 07-Авг-21, (27) +3 // Хуавей уже замену TCP IP придумал Этакий зомбоящик получается , Разбойник (?), 18:37 , 07-Авг-21, (29) // мертворожденная шляпа, kissmyass (?), 20:21 , 07-Авг-21, (36) // это тебе, живущему в свободной стране, так кажется а в Китае взлетит , онанимус (?), 23:03 , 07-Авг-21, (49) +1 Ну так там цели иные, нежели связность и удобство А в условиях адекватных целей , Онаним (?), 12:02 , 08-Авг-21, (76) +1 Так же как они заменили Андроид , Kuromi (ok), 23:25 , 07-Авг-21, (50) +1 Такими темпами скоро перейдут на 6-недельные релизы, синхронно с Хромом Циферки, Anonn (?), 03:43 , 08-Авг-21, (56) // Вообще-то у них уже 4-недельный цикл, Аноним (58), 07:51 , 08-Авг-21, (58) KeepAlive Off на бэкенде спасет отца русской демократии , Alex_K (??), 21:16 , 07-Авг-21, (44) –3 // Да, Жа спасет, можешь спать спокойно , Анончик (?), 23:38 , 07-Авг-21, (51) HTTP2 нинужно, vitalif (ok), 02:04 , 08-Авг-21, (54) –1 javascript макак как обычно взламывают даже без использования уязвимостей неправ, Аноним (70), 11:29 , 08-Авг-21, (70) –1 // А тут, внезапно, не в js макаках проблема , Аноним (-), 13:16 , 08-Авг-21, (94) // Ну, если бы они осилили http2 createServer, то последствий их рукоблудия перечис, Аноним (22), 14:26 , 08-Авг-21, (118) Как раз в них Фронт и бэк - две группы разработки, работающие в тесном сотрудни, Аноним (147), 14:31 , 08-Авг-21, (119) // Эта проблема может возникнуть даже в проектах никак не использующих JS, и вообще, Аноним (-), 05:16 , 09-Авг-21, (139) А то, что видение мира у JS-смузихлёбов отбито по самое не балуй, тебя не смущае, айпони одобряет микросервисы (?), 15:58 , 09-Авг-21, (144) Так оно же не только у них отбито Вон какие-нибудь питонисты или даже хрустики , Аноним (-), 07:07 , 10-Авг-21, (151) вебня такая вебня, Аноним (145), 16:23 , 09-Авг-21, (145) +1 Надо было на расте писать , Аноним (146), 20:44 , 09-Авг-21, (146) –1 // В соседнюю ветку загляни, там в твоём расте дыреней наделали мама не горюй , Аноним (148), 22:17 , 09-Авг-21, (148) +1 Точняк, надо запилить что-нибудь с этой уязвимостью и на хрусте Нужно больше CV, Аноним (-), 22:22 , 09-Авг-21, (149) –1 Это называется не уязвимость , а заставили обезьян веб проектировать Бэкенду , Gogi (??), 00:14 , 10-Авг-21, (150) –1 // Есть ещё кстати fastcgi Можно было бы использовать его , Аноним (164), 09:45 , 18-Авг-21, (164) К разработчикам SPDY, из которого произошёл HTTP 2 первое предложение относится , Аноним (166), 22:46 , 22-Дек-23, (166) Мамкины иксперты даже не поняли о чем идет речь в статье, говорят за JS, Rust , Gena ANTG (ok), 17:29 , 11-Авг-21, (155) А почему бы просто не общаться с бэкендами по http 2 Ведь это бинарный протокол, Аноним (164), 09:44 , 18-Авг-21, (163) Если в HTTP 2 указана длина, зачем допускается Content-Length Даже если это не , Аноним (166), 22:44 , 22-Дек-23, (165) 1,3,5,7,9,13,15,24,27,44,54,70,145,146,150,155,163,165

Сообщения

[Сортировка по времени | RSS]

3. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+1 +/–
Сообщение от Онаним (?), 07-Авг-21, 12:38
Уродство HTTP/2 таки выстрелило. То ли ещё будет с HTTP/много, которые вообще не HTTP.
Ответить | Правка | Наверх | Cообщить модератору

	11. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+9 +/–
	Сообщение от Аноним (11), 07-Авг-21, 13:08
	Так-то выстрелило уродство HTTP1, если почитать новость.
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+1 +/–
	Сообщение от Онаним (?), 07-Авг-21, 13:15
	Выстрелило уродство трансляции полубинарного уродства SPDY в HTTP.
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (22), 07-Авг-21, 14:53
	О да, лучше нормальный plain-text HTTP, от которого, правда, все отказались в пользу HTTPS, в котором из текста только вызов метода CONNECT.
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	–10 +/–
	Сообщение от Michael Shigorin (ok), 07-Авг-21, 19:13
	Да-да-да, стройными колоннами побежали и отказались, никто не "стимулировал".
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 08-Авг-21, 12:39
	А кто стимулировал? Серваки заимплементившие фичу и повышение скорости загрузки сайтов? Вот уж зло вселенское.
	Ответить | Правка | Наверх | Cообщить модератору

	120. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (22), 08-Авг-21, 14:32
	> Серваки заимплементившие фичу и повышение скорости загрузки сайтов? Verisign, без вопросов отбирающий домены у оппозиционных СМИ. Cloudflare, который немного навязчиво продвигает свои услуги (на предыдущей работе нам сначала прилетела DDoS-атака, а через пару дней - коммерческое предложение от этой милой компании).
	Ответить | Правка | Наверх | Cообщить модератору

	128. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 09-Авг-21, 04:09
	> Verisign, без вопросов отбирающий домены у оппозиционных СМИ. Это как? И что этим СМИ мешает хостить сайты где-нибудь подальше от такой фирмы, особенно после зашквара? С соответствующим уроном кошельку оной, бонусом. Общая тупизна реднеков, если это про трампистов? > Cloudflare, который немного навязчиво продвигает свои услуги Клауд спайварь конечно та еще дрянь, но вот именно прийти с пистолетом и потребовать их юзать она не может. > (на предыдущей работе нам сначала прилетела DDoS-атака, > а через пару дней - коммерческое предложение от этой милой компании). Ну, если вы сколь-нибудь крупные и не умеете нанимать нормальных архитектов, кодеров и админов - мир жесток, да. А DDOS может даже школьник сэкономиший на завтраках закахать, и если у вас на этот счет совсем плана не было - у вас херовая инфраструктура, что для чего-то похожего на компанию гребаный стыд.
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 07-Авг-21, 20:43
	Внутри хытыпысы внезапно всё тот же гипертекстовый фидонет.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	53. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (22), 08-Авг-21, 01:22
	То есть, если внутри бинарного кода буквы, то он уже не бинарный? Ну тогда и HTTP/2 тоже небинарный (аки гендер у гражданина свободной страны).
	Ответить | Правка | Наверх | Cообщить модератору

	59. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 09:16
	Ты не понял. SSL при обработке 1:1 разворачивается до исходного протокола, являясь только трансформацией.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (22), 08-Авг-21, 12:27
	То есть, если я в SNI напишу левое имя хоста, это никак не повлияет на работу HTTP?
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 13:39
	Нет. Только на согласование соединения. HTTP внутри декриптится до исходного в любом случае - БЕЗ изменений.
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (22), 08-Авг-21, 14:13
	Получается, SNI на практике ни на что не влияет, а значит - вообще не нужен? Вот это новость!
	Ответить | Правка | Наверх | Cообщить модератору

	123. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 19:29
	Сфейспалмил. SNI к HTTP - ВНЕЗАПНО - не имеет никакого отношения :D
	Ответить | Правка | Наверх | Cообщить модератору

	129. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 09-Авг-21, 04:12
	> Сфейспалмил. > SNI к HTTP - ВНЕЗАПНО - не имеет никакого отношения :D Веб сервак может иметь свое мнение на этот счет. И кстати интересно, не вылезет ли там где-нибудь desync на тему того что поимело приоритет в фронте и бэке. Выглядит как еще одно необтоптаное поле для грабель.
	Ответить | Правка | Наверх | Cообщить модератору

	142. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 09-Авг-21, 12:19
	>> Сфейспалмил. >> SNI к HTTP - ВНЕЗАПНО - не имеет никакого отношения :D > Веб сервак может иметь свое мнение на этот счет. И кстати интересно, > не вылезет ли там где-нибудь desync на тему того что поимело > приоритет в фронте и бэке. Выглядит как еще одно необтоптаное поле > для грабель. Веб сервак обычно только правильный сертификат подбирает, смотря на SNI.
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (102), 08-Авг-21, 13:32
	> SSL при обработке 1:1 разворачивается до исходного протокола, являясь только трансформацией. Не обязательно. См. пример на том сайте как это bitbucket делал, там могли бэку подшить еще сервисные хидеры с данными TLS, типа сертификата клиента и прочих "внутренних" вещей. Кроме того оно умеет всякие вещи типа ALPN. А heartbleed так то показал что оно умеет и много чего еще кроме "только трансформаций".
	Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

	106. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 13:40
	Подшивать к TLS можно чего угодно - проблемы ССЗБ шерифа не волнуют. Важно то, что контент из TLS сдекриптится до исходного неизменного HTTP, SMTP или чего там у вас завёрнуто, т.е. исходный контент TLS не видоизменяет.
	Ответить | Правка | Наверх | Cообщить модератору

	130. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 09-Авг-21, 04:15
	> Подшивать к TLS можно чего угодно - проблемы ССЗБ шерифа не волнуют. Однако вон те хаксоры вполне себе стырили внутренние хидеры и в конце концов тоже отымели. > Важно то, что контент из TLS сдекриптится до исходного неизменного HTTP, SMTP > или чего там у вас завёрнуто, т.е. исходный контент TLS не видоизменяет. Однако дополнительных свойств и параметров отрастает и то что к суммарной обработке этого сервером нельзя DESYNC применить - да в общем то не факт. Скажем с SNI можно наверное попытаться и посмотреть, где что приоритетнее. Например, Host: vs SNI наверное может быть использовано для unexpected реакции софта типа фронтов, прокси, ssl терминаторов и проч.
	Ответить | Правка | Наверх | Cообщить модератору

	107. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 13:41
	А вот из H2 H1 простой трансформацией уже не получить, что и есть источник проблемы - при преобразовании H2 в H1 "есть один нюанс".
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

	60. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 09:17
	Для преобразования HTTP/2 же в HTTP/1 по сути требуется полная реконструкция, простой трансформации нет - и как раз это и вызывает обсуждаемую проблему.
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	72. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+1 +/–
	Сообщение от And (??), 08-Авг-21, 11:56
	Именно. А разрабы попытались таки не делать нормально и попробовали частично 2 обратно превратить в 1.1 Типа время экономят, что ли... Для скорости.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 12:00
	Ну да, казалось бы должна была быть просто трансформация, потому что "разработано с учётом мнения ведущих собаководов". А на деле разработано без обратной совместимости, и поэтому особенностей исходного протокола не учитывает совсем.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от ананим.orig (?), 07-Авг-21, 20:56
	> plain-text HTTP, от которого, правда, все отказались в пользу HTTPS всех отказали тогда уж. не переживай, будет и 3-я, и 4-я волна. это же удобно.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	25. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+1 +/–
	Сообщение от all_glory_to_the_hypnotoad (ok), 07-Авг-21, 17:03
	Это рукожопость разработчиков прокси ибо такие атаки очевидны и им сразу же нужно было уделять должное внимание.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	40. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 07-Авг-21, 20:44
	Это рукожопость разработчиков бинарного протокола, которые решили, что те же CRLF в хедерах теперь новая нормальность. С фига бы.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 07-Авг-21, 20:46
	(упреждая: угу, бинарному протоколу фиолетово. но забыли о сути HTTP - передача собственно текстовых сообщений, в которых переводы строк - неизбежное зло. за бинарным протоколом ещё серверы этих текстовых сообщений сидят, которым тот же CRLF внутри одного хедера тоже не особо спёрся)
	Ответить | Правка | Наверх | Cообщить модератору

	89. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+2 +/–
	Сообщение от Аноним (-), 08-Авг-21, 12:45
	Для эпичного ламо намекну: там упомянуты варианты этих атак работающие на чистом HTTP/1, который они не первый год практикуют. В случае HTTP/2 они просто попробовали по аналогии - и это прокатило, с превышением.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 13:43
	Если уж совсем просто - H2 не стоило называть HTTP/2, это не HTTP.
	Ответить | Правка | К родителю #11 | Наверх | Cообщить модератору

	88. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+3 +/–
	Сообщение от Аноним (-), 08-Авг-21, 12:44
	> Уродство HTTP/2 таки выстрелило. Вообще-то там текстовость HTTP/1.1 дурят жестко и это проблема HTTP1. А если тот сайт еще и почитать, да еще используя мозги, можно узнать, что они там оказывается рядом атаковали и чистый HTTP/1.1 похожими методами, вообще без участия HTTP/2. Используя разное понимание фронтом и бэком длины запроса, например. Что в HTTP/1 сделано довольно дурно и дальше кому-то что-то совершенно левое в запрос врезается, потому что бэк уверен что все уже сжевал, а там какая-то добавка, которая может быть принята за новый запрос например, или префикс к нему. Последнее позволяет пришить совершенно постороннему лоху какой-нибудь интересный редирект на свой сервак, а он какое-нибудь инфо утечет. Или скрипт ему подгрузить. Вариантов много.
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	104. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 13:36
	H2 на бэках конкретно у нас упорно не приживается. Основная причина - возможность в пределах одного коннекта открыть овердохера произвольных процессов/тредов в динамике, это всё приходится зажимами лимитировать, и честно говоря - проще вынести на фронт, вынеся все лимиты на стык, где потоки уже преобразованы в последовательные на H1.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 09-Авг-21, 04:37
	> H2 на бэках конкретно у нас упорно не приживается. Жирные корпы тоже, вот, думали сэкономить. Некоторые даже конопатили эти CVE раза по 3, демонстрируя уровень компетентности своих вебмакак. > Основная причина - возможность в пределах одного коннекта открыть овердохера произвольных > процессов/тредов в динамике, Я правильно понимаю идею, что в кретинской архитектуре вашего бэка виноват HTTP/2? :) КМК, это барахло и при первом же ддосе скончается жесточайше, и вы пойдете клаудспайварь любить, или какую там еще "крышу" костылящую вашу ламерство. Да, вы знаете, форкать по процессу и даже треду на запрос, и тем более без лимитов - не было сильно удачной идеей с самого начала. А pipelining позволяющий базовую версию того самого - вообще-то фича HTTP/1 еще. И вон те извращения с chunked они судя по всему с своих технологий атак HTTP/1 "бэкпортировали", или типа того. > это всё приходится зажимами лимитировать, и честно говоря > - проще вынести на фронт, вынеся все лимиты на стык, где > потоки уже преобразованы в последовательные на H1. Когда у вас есть два неэквивалентных набора фич - вы таки нарываетесь на проблему. Я еще цать лет назад видел как разное понимание одного и того же может нагнуть - и это всегда было очень деструктивным видом проблем, позволяющим сильно нагнуть задуманую логику работы с массой веселых последствий.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема