forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Новая атака на системы фронтэнд-бэкенд, позволяющая вклиниться в запросы, opennews (??), 07-Авг-21, (0) [смотреть все]

Ой, ну надо же, http взломали, как удивительно Нет , Аноним (1), 12:32 , 07-Авг-21, (1) –11 //

Ой, ну надо же отключать JS , Аноним (28), 18:05 , 07-Авг-21, (28) +5 //

Идея хорошая, но вебмакаки понаделали js-only крапа И кстати это не поможет от , Аноним (-), 12:32 , 08-Авг-21, (83) +2

интересно кто самый дырявый - си или js, хакер (?), 19:57 , 07-Авг-21, (33) –7 //

прокладку не рассматриваешь а ник у тебя - просто лэйбла такая , ананим.orig (?), 20:52 , 07-Авг-21, (42) +12 //

Скорее всего проблема в помойке node репо библиотек для JS и культуре коммерческ, And (??), 11:53 , 08-Авг-21, (71)

А может быть проблема в том что не надо код писать ж пой, качая половину интерне, Аноним (-), 12:37 , 08-Авг-21, (86) +1

Скрыто модератором, Anonymouse (?), 12:36 , 07-Авг-21, (2) +11 //

Скрыто модератором, OnTheEdge (ok), 12:40 , 07-Авг-21, (4) +7 //

Скрыто модератором, Аноним (16), 13:34 , 07-Авг-21, (16) +4 //

Скрыто модератором, Аноним (19), 13:49 , 07-Авг-21, (19) –5

Скрыто модератором, Admin (??), 13:40 , 07-Авг-21, (17) +1

Уродство HTTP 2 таки выстрелило То ли ещё будет с HTTP много, которые вообще не , Онаним (?), 12:38 , 07-Авг-21, (3) +1 //

Так-то выстрелило уродство HTTP1, если почитать новость , Аноним (11), 13:08 , 07-Авг-21, (11) +9 //

Выстрелило уродство трансляции полубинарного уродства SPDY в HTTP , Онаним (?), 13:15 , 07-Авг-21, (14) +1 //

О да, лучше нормальный plain-text HTTP, от которого, правда, все отказались в по, Аноним (22), 14:53 , 07-Авг-21, (22)

Да-да-да, стройными колоннами побежали и отказались, никто не стимулировал , Michael Shigorin (ok), 19:13 , 07-Авг-21, (30) –10

А кто стимулировал Серваки заимплементившие фичу и повышение скорости загрузки , Аноним (-), 12:39 , 08-Авг-21, (87)

Verisign, без вопросов отбирающий домены у оппозиционных СМИ Cloudflare, который, Аноним (22), 14:32 , 08-Авг-21, (120)

Это как И что этим СМИ мешает хостить сайты где-нибудь подальше от такой фирмы,, Аноним (-), 04:09 , 09-Авг-21, (128)

Внутри хытыпысы внезапно всё тот же гипертекстовый фидонет , Онаним (?), 20:43 , 07-Авг-21, (39)

То есть, если внутри бинарного кода буквы, то он уже не бинарный Ну тогда и HTT, Аноним (22), 01:22 , 08-Авг-21, (53)

Ты не понял SSL при обработке 1 1 разворачивается до исходного протокола, являя, Онаним (?), 09:16 , 08-Авг-21, (59)

То есть, если я в SNI напишу левое имя хоста, это никак не повлияет на работу HT, Аноним (22), 12:27 , 08-Авг-21, (81)

Нет Только на согласование соединения HTTP внутри декриптится до исходного в лю, Онаним (?), 13:39 , 08-Авг-21, (105)

Получается, SNI на практике ни на что не влияет, а значит - вообще не нужен Вот , Аноним (22), 14:13 , 08-Авг-21, (114)

Сфейспалмил SNI к HTTP - ВНЕЗАПНО - не имеет никакого отношения D, Онаним (?), 19:29 , 08-Авг-21, (123)

Веб сервак может иметь свое мнение на этот счет И кстати интересно, не вылезет , Аноним (-), 04:12 , 09-Авг-21, (129)
Веб сервак обычно только правильный сертификат подбирает, смотря на SNI , Аноним (-), 12:19 , 09-Авг-21, (142)

Не обязательно См пример на том сайте как это bitbucket делал, там могли бэку , Аноним (102), 13:32 , 08-Авг-21, (102)

Подшивать к TLS можно чего угодно - проблемы ССЗБ шерифа не волнуют Важно то, чт, Онаним (?), 13:40 , 08-Авг-21, (106)

Однако вон те хаксоры вполне себе стырили внутренние хидеры и в конце концов тож, Аноним (-), 04:15 , 09-Авг-21, (130)

А вот из H2 H1 простой трансформацией уже не получить, что и есть источник пробл, Онаним (?), 13:41 , 08-Авг-21, (107)

Для преобразования HTTP 2 же в HTTP 1 по сути требуется полная реконструкция, пр, Онаним (?), 09:17 , 08-Авг-21, (60)

Именно А разрабы попытались таки не делать нормально и попробовали частично 2 о, And (??), 11:56 , 08-Авг-21, (72) +1

Ну да, казалось бы должна была быть просто трансформация, потому что разработан, Онаним (?), 12:00 , 08-Авг-21, (74)

всех отказали тогда уж не переживай, будет и 3-я, и 4-я волна это же удобно , ананим.orig (?), 20:56 , 07-Авг-21, (43)

Это рукожопость разработчиков прокси ибо такие атаки очевидны и им сразу же нужн, all_glory_to_the_hypnotoad (ok), 17:03 , 07-Авг-21, (25) +1 //

Это рукожопость разработчиков бинарного протокола, которые решили, что те же CRL, Онаним (?), 20:44 , 07-Авг-21, (40)

упреждая угу, бинарному протоколу фиолетово но забыли о сути HTTP - передача , Онаним (?), 20:46 , 07-Авг-21, (41)

Для эпичного ламо намекну там упомянуты варианты этих атак работающие на чистом, Аноним (-), 12:45 , 08-Авг-21, (89) +2

Если уж совсем просто - H2 не стоило называть HTTP 2, это не HTTP , Онаним (?), 13:43 , 08-Авг-21, (108)

Вообще-то там текстовость HTTP 1 1 дурят жестко и это проблема HTTP1 А если тот , Аноним (-), 12:44 , 08-Авг-21, (88) +3 //

H2 на бэках конкретно у нас упорно не приживается Основная причина - возможность, Онаним (?), 13:36 , 08-Авг-21, (104) //

Жирные корпы тоже, вот, думали сэкономить Некоторые даже конопатили эти CVE раз, Аноним (-), 04:37 , 09-Авг-21, (131)

Т е они одним сплошным потоком байтов слали подряд разные запросы а потом надея, Аноним (5), 12:42 , 07-Авг-21, (5) –1 //

они читали много статей где п-делось о страшных и ужастных ЗАДЕРЖКАХ при открыти, пох. (?), 12:49 , 07-Авг-21, (6) –2 //

так разве для HTTP 1 0 не открывается новое соединение на каждый запрос или это , kissmyass (?), 20:14 , 07-Авг-21, (35) //

Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная опер, Онаним (?), 20:43 , 07-Авг-21, (38)

ну тогда либо прокси должен валидировать HTTP заголовки либо пусть форсит открыт, kissmyass (?), 21:56 , 07-Авг-21, (47)

Многие проморгали, потому что гугели свой SPDY в виде H2 запихивали в индустрию , Онаним (?), 09:49 , 08-Авг-21, (63)

Дело тут не в открытых сессиях сессии надо и в QUIC отслеживать, то есть это не, anonymous (??), 11:57 , 08-Авг-21, (73)

причем и то и другое копеечные операции по сравнению с ожиданием модного-совреме, пох. (?), 11:05 , 08-Авг-21, (64) –1

Не, ну там основной идеей вмазывалось мыжыможым статический коньтент подгрузить, Онаним (?), 11:15 , 08-Авг-21, (65)

ЗАДЕРЖКИ уминядвепалоски то что они миллисекундные на фоне _секунд_ как, пох. (?), 11:26 , 08-Авг-21, (69) –1

И тем не менее, кпд канала может получиться довольно издевательским Особенно ес, Аноним (-), 04:41 , 09-Авг-21, (132) +1

Самое же прекрасное, что у этих же почитателей смузи в итоге статический коньтен, Онаним (?), 11:16 , 08-Авг-21, (66)

и вот там уже задержки вполне видны, поскольку это новая tls сессия на каждый jq, пох. (?), 11:24 , 08-Авг-21, (68) –1

Не совсем Ведет к выделению ресурсов на сокет в операционке, а закретие соедине, Аноним (-), 12:48 , 08-Авг-21, (90)

Ну я как бы в курсе, в практике и 1000 запросов в секунду на динамику - не преде, Онаним (?), 13:31 , 08-Авг-21, (101)

Теоретически да Практически - установка и завершение TCP все же не халявные, и , Аноним (-), 04:47 , 09-Авг-21, (133)

Про chunked пожалуй соглашусь, данное счастье требует некоторой аккуратности С д, Онаним (?), 13:34 , 08-Авг-21, (103)

Это судя по виду лишь усиленная и заапгрейженая версия атак которые они на HTTP , Аноним (-), 04:48 , 09-Авг-21, (134)

Полное вымирание сайтов http - вопрос времени, Аноним (7), 12:52 , 07-Авг-21, (7) //

Они как умные клавы решили смухлевать и прицепить HTTP 1 бэк малой кровью При т, Аноним (-), 12:56 , 08-Авг-21, (91)

Скрыто модератором, Аноним (8), 12:57 , 07-Авг-21, (8) –4 //

Скрыто модератором, Аноним (22), 14:55 , 07-Авг-21, (23)

Радует пока одно у меня на фронтах немолодёжный haproxy, новый парсер которого , Онаним (?), 12:59 , 07-Авг-21, (9) //

нет ножек ненужно 2 - нет проблемы P S обратить внимание на нашествие в комме, пох. (?), 13:04 , 07-Авг-21, (10) –1 //

Я бы им вместо http sip с rtp посоветовал, но жалко бедняжек , Онаним (?), 13:13 , 07-Авг-21, (12)
Фига, пох сам себя, затарил, не в бровь а в глаз , Аноним (-), 13:28 , 08-Авг-21, (100) +1

Переходи на Traefik, Alexey Chernyavskiy (?), 19:14 , 07-Авг-21, (31) //

Пасибо, я столько смузи в одно рыло не сожру , Онаним (?), 20:40 , 07-Авг-21, (37) +2 //

тогда переходи на Envoy, онанимус (?), 23:01 , 07-Авг-21, (48) +1

Не, там думать надо , Аноним (22), 01:20 , 08-Авг-21, (52)
Когда смузихлёбы добираются до C - у них выходит ещё хуже, чем если бы они на св, Онаним (?), 09:22 , 08-Авг-21, (61)

Разработчики haproxy с вами не согласятся, судя по тому, что они пилят dataplane, Аноним (22), 12:30 , 08-Авг-21, (82)

Абсолютно угрёбищный конфиг умноженный на абсолютно угрёбищную документацию - да, Онаним (?), 09:24 , 08-Авг-21, (62) +1

Когда-нибудь вы уйдёте в High Load и в такой, где нужны submillisecond ответы от, anonymous (??), 12:02 , 08-Авг-21, (75)

Не жрите больше столько, умоляю High Load - это не субмиллисекундные ответы, да, Онаним (?), 12:12 , 08-Авг-21, (79)
Но да, раз уж мы заговорили о хайлоудах - я прекрасно знаю как оно у смузихлёбов, Онаним (?), 12:24 , 08-Авг-21, (80) +3

У микросервисов есть ряд очевидных плюсов Как то декомпозиция задачи и перевод , Аноним (-), 13:25 , 08-Авг-21, (97)

Да, большой монолит сложнее поддерживать Но жесть в том, что менять рост сложно, Онаним (?), 13:48 , 08-Авг-21, (109)

Он склонен превращаться в большое месиво Которое к тому же скорее всего больше , Аноним (-), 04:55 , 09-Авг-21, (135)

короче я мыслью по древу растёкся, но основная мысль была в том, что овердекомп, Онаним (?), 13:49 , 08-Авг-21, (110)

Для проектов уровня приветмир интернет-магазина Васян сейлз - да Как говори, Аноним (22), 14:44 , 08-Авг-21, (121)

Программа перестаёт быть простой и маленькой ровно тогда, когда она становится с, айпони одобряет микросервисы (?), 15:52 , 09-Авг-21, (143) +1

Не ясно, в чём разница со стороны логики приложения, сравнивая stdin stdout межд, Аноним (147), 21:37 , 09-Авг-21, (147)

Разница как раз в той самой latency, с которой потом героически начинают боротьс, Онаним (?), 20:24 , 17-Авг-21, (160)

До декомпозиции на микросервисы была декомпозиция на отдельные взаимодействующие, www2 (??), 08:20 , 10-Авг-21, (152)

Сам вопрос уже некорректен, потому что из тысячи мелконедосервисов получится два, Онаним (?), 20:25 , 17-Авг-21, (161)
Микросервисы - это попытка хоть как-то разрулить поделки обезьянок-неосиляторов , Онаним (?), 20:26 , 17-Авг-21, (162)

Это надо внести в луддитско-свитеро-бородные анналы , gvx (?), 15:13 , 08-Авг-21, (122)

Монолиты разные бывают Можно каждые 2 2 в микросервис вытягивать А можно целый к, Онаним (?), 19:50 , 08-Авг-21, (127)

Вот только envoy тут не при чем Он - в основном про возможность конфигурировани, Аноним (22), 12:32 , 08-Авг-21, (84)

Да и haproxy в рантайме нормально реконфигурится, если уж честно-то Кое-что можн, Онаним (?), 13:26 , 08-Авг-21, (98)

Нет Достаточно переконфигурировать хотя бы несколько раз в секунду вполне типи, Аноним (22), 14:10 , 08-Авг-21, (112)

s бэкендов серверов в бэкенде , конечно же , Аноним (22), 14:10 , 08-Авг-21, (113)

Количество слотов да, но вот это как раз дёргается через реконфиг, если ОЧЕНЬ на, Онаним (?), 19:36 , 08-Авг-21, (125)

Раз в секунду Как правило если такое начало требоваться - самое время что-то в к, Онаним (?), 19:30 , 08-Авг-21, (124)
А зачем это менять раз в секунду Чтобы прострелить себе пятку, а потом продать , Аноним (-), 04:59 , 09-Авг-21, (136)

Могли бы и не повторять, выше же написаноЕсли что-то по своей сложности превосхо, Аноним (22), 12:35 , 08-Авг-21, (85)

В новости про атаки - примерно так Чем сложнее и оверинженернутее нечто, тем бо, Аноним (-), 13:21 , 08-Авг-21, (96) +1

Примерно да Оверинжениринг и овердекомпозиция кажутся простыми на этапе первичн, Онаним (?), 13:51 , 08-Авг-21, (111)

Сам по себе HTTP 2 в этом плане кстати не такой уж оверинженернутый, хотя mandat, Аноним (-), 05:07 , 09-Авг-21, (138)

Но эволюция, а впоследствии - и прогресс, почему-то упорно порождают все более у, Аноним (22), 14:21 , 08-Авг-21, (116) –1

состоящие из простых систем Отказ каждой из которых в отдельности вообще пох, Аноним (-), 05:05 , 09-Авг-21, (137)

Оно именно что не по сложности превосходит, а по угрёбищности То есть мнимая сло, Онаним (?), 13:28 , 08-Авг-21, (99)

Ну, для вас, похоже, 1 1 - норм, 2 2 - сложно, а 2 3 - угрёбищно А уж 5 6 вообще, Аноним (22), 14:16 , 08-Авг-21, (115)

В случае смузихлёбов я бы поставил на скачивание лефтпада для 1 1 и 2 2, а в слу, Онаним (?), 19:38 , 08-Авг-21, (126)

---От учащихся старших школ high schools, аналог наших старших классов средней , Michael Shigorin (ok), 21:54 , 10-Авг-21, (153) –2

Ссылка на производное ботофермы, которое маскируется под другого пользователя - , Онаним (?), 23:17 , 10-Авг-21, (154) +1

Охренеть, плюсовики хайпуют Явно покусаные гуглем - include stdbullshit и да, Аноним (-), 13:12 , 08-Авг-21, (92) –2

Поздравляю вас с этим, и рекомендую немедленно обновитьсяhttps git haproxy org, Аноним (22), 19:10 , 17-Авг-21, (156) +1 //

У меня за фронтом такой же не менее немолодёжный H1, поэтому меня эти пляски с у, Онаним (?), 20:05 , 17-Авг-21, (157)
Хотя конечно да, есть определённый мысли вообще убрать ALPN h2 с фронтов, ибо не, Онаним (?), 20:06 , 17-Авг-21, (158) //

определённый позыв определённые мысли, Онаним (?), 20:07 , 17-Авг-21, (159)

Оверинженеринг в действии, Отражение луны (ok), 13:14 , 07-Авг-21, (13) +1 //

Это как раз недоинженеринг, т е когда осилили работу с простым протоколом HTTP , all_glory_to_the_hypnotoad (ok), 17:06 , 07-Авг-21, (26) +2 //

HTTP 1 вообще более сложен в проверках и sanity check В том числе и из-за специ, Аноним (-), 13:13 , 08-Авг-21, (93) +2

Больше похоже на идиотизм тащить части старого протокола в новый протокол Нару, And (??), 12:03 , 08-Авг-21, (78) //

Они настолько понимали, что по ывали даже и чистый HTTP 1 1 используя разное ег, Аноним (-), 13:18 , 08-Авг-21, (95) +2 //

Между фронтом и бэком и на ф и на б как раз не было знавших и понимавших, или , Аноним (147), 14:26 , 08-Авг-21, (117)

Более вероятно что 1 Это были 2 тотально разные команды, плохо или никак взаи, Аноним (-), 05:28 , 09-Авг-21, (141)

Ну так нгингс подвержен или нет Где исправления , Аноним (15), 13:19 , 07-Авг-21, (15) +1 //

Если я правильно прочитал changelog к 1 21 1, то это как раз оно http nginx or, edo (ok), 13:41 , 07-Авг-21, (18) +1 //

Проверил на Nginx 1 20 не включающем правки от 6 июля заголовок Transfer-Enco, Sage (??), 03:32 , 08-Авг-21, (55) +2 //

чем генерировали запросы curl ом у меня не всё получается, edo (ok), 04:46 , 08-Авг-21, (57)

На скорую руку отредактировал бинарник курла и libcurl-4 dll, заменив там первую, Sage (??), 11:19 , 08-Авг-21, (67)

Ммм хакир Т е HTTP 2 стал внаглую рассылать Transfer-Encoding как HTTP 2, Аноним (-), 05:23 , 09-Авг-21, (140)

Теперь все будут топить за закопать http и перейти на websocket , Аноним (24), 15:52 , 07-Авг-21, (24) //

WebSocket работает поверх HTTP , anonymous (??), 12:03 , 08-Авг-21, (77) –1

Не волйнутесь, сейчас Гугл быстренько придумает HTTP3 ой, нет, наверное уже HT, Kuromi (ok), 17:35 , 07-Авг-21, (27) +3 //

Хуавей уже замену TCP IP придумал Этакий зомбоящик получается , Разбойник (?), 18:37 , 07-Авг-21, (29) //

мертворожденная шляпа, kissmyass (?), 20:21 , 07-Авг-21, (36) //

это тебе, живущему в свободной стране, так кажется а в Китае взлетит , онанимус (?), 23:03 , 07-Авг-21, (49) +1

Ну так там цели иные, нежели связность и удобство А в условиях адекватных целей , Онаним (?), 12:02 , 08-Авг-21, (76) +1

Так же как они заменили Андроид , Kuromi (ok), 23:25 , 07-Авг-21, (50) +1

Такими темпами скоро перейдут на 6-недельные релизы, синхронно с Хромом Циферки, Anonn (?), 03:43 , 08-Авг-21, (56) //

Вообще-то у них уже 4-недельный цикл, Аноним (58), 07:51 , 08-Авг-21, (58)

KeepAlive Off на бэкенде спасет отца русской демократии , Alex_K (??), 21:16 , 07-Авг-21, (44) –3 //

Да, Жа спасет, можешь спать спокойно , Анончик (?), 23:38 , 07-Авг-21, (51)

HTTP2 нинужно, vitalif (ok), 02:04 , 08-Авг-21, (54) –1
javascript макак как обычно взламывают даже без использования уязвимостей неправ, Аноним (70), 11:29 , 08-Авг-21, (70) –1 //

А тут, внезапно, не в js макаках проблема , Аноним (-), 13:16 , 08-Авг-21, (94) //

Ну, если бы они осилили http2 createServer, то последствий их рукоблудия перечис, Аноним (22), 14:26 , 08-Авг-21, (118)
Как раз в них Фронт и бэк - две группы разработки, работающие в тесном сотрудни, Аноним (147), 14:31 , 08-Авг-21, (119) //

Эта проблема может возникнуть даже в проектах никак не использующих JS, и вообще, Аноним (-), 05:16 , 09-Авг-21, (139)

А то, что видение мира у JS-смузихлёбов отбито по самое не балуй, тебя не смущае, айпони одобряет микросервисы (?), 15:58 , 09-Авг-21, (144)

Так оно же не только у них отбито Вон какие-нибудь питонисты или даже хрустики , Аноним (-), 07:07 , 10-Авг-21, (151)

вебня такая вебня, Аноним (145), 16:23 , 09-Авг-21, (145) +1
Надо было на расте писать , Аноним (146), 20:44 , 09-Авг-21, (146) –1 //

В соседнюю ветку загляни, там в твоём расте дыреней наделали мама не горюй , Аноним (148), 22:17 , 09-Авг-21, (148) +1
Точняк, надо запилить что-нибудь с этой уязвимостью и на хрусте Нужно больше CV, Аноним (-), 22:22 , 09-Авг-21, (149) –1

Это называется не уязвимость , а заставили обезьян веб проектировать Бэкенду , Gogi (??), 00:14 , 10-Авг-21, (150) –1 //

Есть ещё кстати fastcgi Можно было бы использовать его , Аноним (164), 09:45 , 18-Авг-21, (164)
К разработчикам SPDY, из которого произошёл HTTP 2 первое предложение относится , Аноним (166), 22:46 , 22-Дек-23, (166)

Мамкины иксперты даже не поняли о чем идет речь в статье, говорят за JS, Rust , Gena ANTG (ok), 17:29 , 11-Авг-21, (155)
А почему бы просто не общаться с бэкендами по http 2 Ведь это бинарный протокол, Аноним (164), 09:44 , 18-Авг-21, (163)
Если в HTTP 2 указана длина, зачем допускается Content-Length Даже если это не , Аноним (166), 22:44 , 22-Дек-23, (165)

Сообщения [Сортировка по времени | RSS]

35. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от kissmyass (?), 07-Авг-21, 20:14

так разве для HTTP 1.0 не открывается новое соединение на каждый запрос?
или это особенность всякие reverse-proxy?

Ответить | Правка | Наверх | Cообщить модератору

38. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Онаним (?), 07-Авг-21, 20:43

Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная операция, на самом деле. Ну и 1.0 давно почит, в 1.1 в пределах одного соединения может быть несколько операций.

Ответить | Правка | Наверх | Cообщить модератору

47. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от kissmyass (?), 07-Авг-21, 21:56

> Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная операция,
> на самом деле. Ну и 1.0 давно почит, в 1.1 в
> пределах одного соединения может быть несколько операций.
ну тогда либо прокси должен валидировать HTTP заголовки либо пусть форсит открытие нового соединения, странно что такие ребята типа nginx проморгали

Ответить | Правка | Наверх | Cообщить модератору

63. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Онаним (?), 08-Авг-21, 09:49

Многие проморгали, потому что гугели свой SPDY в виде H2 запихивали в индустрию ломиком, не оставляя времени на масштабное тестирование. Следующая итерация неадекватизма под названием QUIC - на подходе, и её пытаются впихнуть ещё быстрее, чем H2. На деле же оба по сути не нужны, keepalive от 1.1 вполне достаточно. За спидами-кваками лежит только одно: желание сократить число открытых портов на фронтах у обленившихся.

Ответить | Правка | Наверх | Cообщить модератору

73. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от anonymous (??), 08-Авг-21, 11:57

Дело тут не в открытых сессиях (сессии надо и в QUIC отслеживать, то есть это не даёт экономии). Дело именно в задержках. И да, QUIC действительно позволяет сократить задержки. Особенно у всяких мобильных пользователей.

Ответить | Правка | Наверх | Cообщить модератору

64. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." –1 +/–

Сообщение от пох. (?), 08-Авг-21, 11:05

причем и то и другое копеечные операции по сравнению с ожиданием модного-современного gpu рендеринга и тонны скриптов.

Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

65. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Онаним (?), 08-Авг-21, 11:15

Не, ну там основной идеей вмазывалось "мыжыможым статический коньтент подгрузить асинхронно пока сервер кушает". А второй коннект открыть в походе за статическим контентом - это уже всё, немодномолодёжно, обязательно надо ещё что-то внутри протокола херовертить.

Ответить | Правка | Наверх | Cообщить модератору

69. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." –1 +/–

Сообщение от пох. (?), 08-Авг-21, 11:26

> А второй коннект открыть
ЗАДЕРЖКИ!!!! ("уминядвепалоски!")
(то что они миллисекундные на фоне _секунд_ как минимум на собственно скачивание - смузижорам неведомо - у них внутри гугля везде уже 100G прямо до ноута обезьянки-разработчика)

Ответить | Правка | Наверх | Cообщить модератору

132. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +1 +/–

Сообщение от Аноним (-), 09-Авг-21, 04:41

> (то что они миллисекундные на фоне _секунд_ как минимум на собственно скачивание
И тем не менее, кпд канала может получиться довольно издевательским. Особенно если вон там еще 20 скриптов на разных CDN распихано. Надо же все хайповые либы прицепить, или где?
> - смузижорам неведомо - у них внутри гугля везде уже 100G
> прямо до ноута обезьянки-разработчика)
Умничать о мобильном вебе с жирного проводного линка так то это эксперт уровня бох^W пох...

Ответить | Правка | Наверх | Cообщить модератору

66. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Онаним (?), 08-Авг-21, 11:16

Самое же прекрасное, что у этих же почитателей смузи в итоге статический коньтент ныне размазан по десятку CDN'ов, и одним коннектом они так и так не обходятся.

Ответить | Правка | К родителю #64 | Наверх | Cообщить модератору

68. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." –1 +/–

Сообщение от пох. (?), 08-Авг-21, 11:24

и вот там уже задержки вполне видны, поскольку это новая tls сессия на каждый jquery.js с каждого особенного cdn
(хотя, разумеется, они ничто по сравнению с тем что начнется, когда оно его наконец-то скачает и запустит)

Ответить | Правка | Наверх | Cообщить модератору

90. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Аноним (-), 08-Авг-21, 12:48

> Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная операция,
Не совсем. Ведет к выделению ресурсов на сокет в операционке, а закретие соединения далеко не мгновенное и при большом количестве запросов сокеты ожидающие закрытия могут основательно подвыжрать лимит числа файлов/сокетов, пригрузить conntrack, если он есть, etc.
> пределах одного соединения может быть несколько операций.
Да, там рядом клевые примеры что с chunked можно делать. И как можно фронты и бэки на-о-бывать. Даже без HTTP2 вообще, чего уж.

Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

101. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Онаним (?), 08-Авг-21, 13:31

Ну я как бы в курсе, в практике и 1000 запросов в секунду на динамику - не предел.
Другое дело, что там, где начинается хайлоуд, это всё по уму горизонтально масштабируется, и не надо извращаться с мультиплексированием внутри простого как доска протокола.

Ответить | Правка | Наверх | Cообщить модератору

133. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Аноним (-), 09-Авг-21, 04:47

> Другое дело, что там, где начинается хайлоуд, это всё по уму горизонтально
> масштабируется, и не надо извращаться с мультиплексированием внутри простого как доска
> протокола.
Теоретически да. Практически - установка и завершение TCP все же не халявные, и это создает некий оверхед. Если мультиплексировать и не делать форк/старт треда на каждое это вот, оверхед заметно экономится. И если обратить внимание, изначально атака была на HTTP/1. И да, если делать как выше, прямая атака становится проблемой, однако если их статью посмотреть, в случае если фронт и бэк видят мир по разному, они все же придумали странные извращения с cache poisoning и проч. Разное видение мира разными компонентами - в любом случае остается проблемой, которую можно эксплуатировать газилионом странных способов.
А если фронт будет работать как вон то, это будет хтонически неэффективно и весьма атакуемо ддосами.

Ответить | Правка | Наверх | Cообщить модератору

103. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Онаним (?), 08-Авг-21, 13:34

Про chunked пожалуй соглашусь, данное счастье требует некоторой аккуратности.
С другой стороны то, что с H2->H1 происходит, рядом с chunked не лежало и не ползало.

Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

134. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..." +/–

Сообщение от Аноним (-), 09-Авг-21, 04:48

> Про chunked пожалуй соглашусь, данное счастье требует некоторой аккуратности.
> С другой стороны то, что с H2->H1 происходит, рядом с chunked не
> лежало и не ползало.
Это судя по виду лишь усиленная и заапгрейженая версия атак которые они на HTTP/1 практиковали, используя разное видение мира фронтом и бэком и там.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	35. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от kissmyass (?), 07-Авг-21, 20:14
	так разве для HTTP 1.0 не открывается новое соединение на каждый запрос? или это особенность всякие reverse-proxy?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	38. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 07-Авг-21, 20:43
	Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная операция, на самом деле. Ну и 1.0 давно почит, в 1.1 в пределах одного соединения может быть несколько операций.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	47. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от kissmyass (?), 07-Авг-21, 21:56
	> Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная операция, > на самом деле. Ну и 1.0 давно почит, в 1.1 в > пределах одного соединения может быть несколько операций. ну тогда либо прокси должен валидировать HTTP заголовки либо пусть форсит открытие нового соединения, странно что такие ребята типа nginx проморгали
	Ответить \| Правка \| Наверх \| Cообщить модератору


	63. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 09:49
	Многие проморгали, потому что гугели свой SPDY в виде H2 запихивали в индустрию ломиком, не оставляя времени на масштабное тестирование. Следующая итерация неадекватизма под названием QUIC - на подходе, и её пытаются впихнуть ещё быстрее, чем H2. На деле же оба по сути не нужны, keepalive от 1.1 вполне достаточно. За спидами-кваками лежит только одно: желание сократить число открытых портов на фронтах у обленившихся.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	73. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от anonymous (??), 08-Авг-21, 11:57
	Дело тут не в открытых сессиях (сессии надо и в QUIC отслеживать, то есть это не даёт экономии). Дело именно в задержках. И да, QUIC действительно позволяет сократить задержки. Особенно у всяких мобильных пользователей.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	64. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	–1 +/–
	Сообщение от пох. (?), 08-Авг-21, 11:05
	причем и то и другое копеечные операции по сравнению с ожиданием модного-современного gpu рендеринга и тонны скриптов.
	Ответить \| Правка \| К родителю #38 \| Наверх \| Cообщить модератору


	65. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 11:15
	Не, ну там основной идеей вмазывалось "мыжыможым статический коньтент подгрузить асинхронно пока сервер кушает". А второй коннект открыть в походе за статическим контентом - это уже всё, немодномолодёжно, обязательно надо ещё что-то внутри протокола херовертить.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	69. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	–1 +/–
	Сообщение от пох. (?), 08-Авг-21, 11:26
	> А второй коннект открыть ЗАДЕРЖКИ!!!! ("уминядвепалоски!") (то что они миллисекундные на фоне _секунд_ как минимум на собственно скачивание - смузижорам неведомо - у них внутри гугля везде уже 100G прямо до ноута обезьянки-разработчика)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	132. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+1 +/–
	Сообщение от Аноним (-), 09-Авг-21, 04:41
	> (то что они миллисекундные на фоне _секунд_ как минимум на собственно скачивание И тем не менее, кпд канала может получиться довольно издевательским. Особенно если вон там еще 20 скриптов на разных CDN распихано. Надо же все хайповые либы прицепить, или где? > - смузижорам неведомо - у них внутри гугля везде уже 100G > прямо до ноута обезьянки-разработчика) Умничать о мобильном вебе с жирного проводного линка так то это эксперт уровня бох^W пох...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	66. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 11:16
	Самое же прекрасное, что у этих же почитателей смузи в итоге статический коньтент ныне размазан по десятку CDN'ов, и одним коннектом они так и так не обходятся.
	Ответить \| Правка \| К родителю #64 \| Наверх \| Cообщить модератору


	68. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	–1 +/–
	Сообщение от пох. (?), 08-Авг-21, 11:24
	и вот там уже задержки вполне видны, поскольку это новая tls сессия на каждый jquery.js с каждого особенного cdn (хотя, разумеется, они ничто по сравнению с тем что начнется, когда оно его наконец-то скачает и запустит)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	90. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 08-Авг-21, 12:48
	> Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная операция, Не совсем. Ведет к выделению ресурсов на сокет в операционке, а закретие соединения далеко не мгновенное и при большом количестве запросов сокеты ожидающие закрытия могут основательно подвыжрать лимит числа файлов/сокетов, пригрузить conntrack, если он есть, etc. > пределах одного соединения может быть несколько операций. Да, там рядом клевые примеры что с chunked можно делать. И как можно фронты и бэки на-о-бывать. Даже без HTTP2 вообще, чего уж.
	Ответить \| Правка \| К родителю #38 \| Наверх \| Cообщить модератору


	101. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 13:31
	Ну я как бы в курсе, в практике и 1000 запросов в секунду на динамику - не предел. Другое дело, что там, где начинается хайлоуд, это всё по уму горизонтально масштабируется, и не надо извращаться с мультиплексированием внутри простого как доска протокола.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	133. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 09-Авг-21, 04:47
	> Другое дело, что там, где начинается хайлоуд, это всё по уму горизонтально > масштабируется, и не надо извращаться с мультиплексированием внутри простого как доска > протокола. Теоретически да. Практически - установка и завершение TCP все же не халявные, и это создает некий оверхед. Если мультиплексировать и не делать форк/старт треда на каждое это вот, оверхед заметно экономится. И если обратить внимание, изначально атака была на HTTP/1. И да, если делать как выше, прямая атака становится проблемой, однако если их статью посмотреть, в случае если фронт и бэк видят мир по разному, они все же придумали странные извращения с cache poisoning и проч. Разное видение мира разными компонентами - в любом случае остается проблемой, которую можно эксплуатировать газилионом странных способов. А если фронт будет работать как вон то, это будет хтонически неэффективно и весьма атакуемо ддосами.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	103. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Онаним (?), 08-Авг-21, 13:34
	Про chunked пожалуй соглашусь, данное счастье требует некоторой аккуратности. С другой стороны то, что с H2->H1 происходит, рядом с chunked не лежало и не ползало.
	Ответить \| Правка \| К родителю #90 \| Наверх \| Cообщить модератору


	134. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+/–
	Сообщение от Аноним (-), 09-Авг-21, 04:48
	> Про chunked пожалуй соглашусь, данное счастье требует некоторой аккуратности. > С другой стороны то, что с H2->H1 происходит, рядом с chunked не > лежало и не ползало. Это судя по виду лишь усиленная и заапгрейженая версия атак которые они на HTTP/1 практиковали, используя разное видение мира фронтом и бэком и там.
	Ответить \| Правка \| Наверх \| Cообщить модератору