NEUE SERIE: Sprachenzyklopädie

Transkript

1 NEUE SERIE: Sprachnzyklopädi» S. 60 Duschland 6,50 Ösrrich 7,00 Schwiz sfr 13,40 Enwicklr Magazin Juli /Augus p u c i p S g n i s T r u o y Januar/Fbruar Windows 8.1 Nus für Anwndr und Enwicklr Symmrisch Vrfahrn Valu of a Lik ANSI C OOP jz rs rch SERIE So wrvoll sind Liks wirklich GWT Eingbau Sichrhi isockphoo.com/scospncr Krypografi im NSA-Zialr SERIE "/4* $ (85 2U 8JOEPXT 5FTUJOH 'BDFCPPL E C I P S s T i m n s T

2 Wb GWT Scuriy Scuriy mi GWT Sichrr Wbzugkasn Wi jd Wbapplikaion sind naürlich auch solch mi Clins, di auf dm Googl Wb Toolki (GWT) basirn, angrifbar. JavaScrip-Applikaionn slln in manchr Hinsich spzillr Ansprüch an di Absichrung. GWT unrsüz dn Enwicklr in viln Brichn bi dr Einhalung von Sichrhisrichlinin, dnnoch blibn in paar Angriffsvkorn übrig, di man nich außr Ach lassn soll. von Chrisian Proingr GWT rmöglich s Enwicklrn, sich bim Enwickln von Rich Inrn Applicaions (RIA) auf di Wünsch und Anfordrungn ihrr Nuzr zu konznrirn, sa sich mi JavaScrip- und Browsr-Eignhin bschäfign zu müssn. Dnnoch is s grad bi dr Sichrhi wichig, dass man di Basics vrsh. Wi in Browsr arbi und was JavaScrip-Cod darf und was nich, soll man zuminds grob im Hinrkopf habn. Zwir grundlgndr Sichrhiskonzp muss man sich bim Enwickln bwuss sin, wnn man dn Gdanknschri von Anwndungn, di auf saischm HTML basirn, hin zu JavaScrip-basirn, mach: dr Sam-Origin Policy und dm dynamischn Hinzufügn von HTML-Elmnn. Di Sam-Origin Policy bsag im Prinzip, dass Cod, dr von Si A gladn wurd, auf kin Rssourcn von Si B zugrifn darf. Durch dis Rsrikion kann man zum Bispil nich ohn Wirs [1] inn XMLHTTPRqus an in andr Si slln. Das Zil dabi is s, zu vrhindrn, dass bösarigr Cod, dr von inr kompromiirn Si A hrunrgladn wird, Dan, di mir z. B. grad im Browsr angzig wrdn, sihl und si an Si B wirli. Manchmal is dis Einschränkung allrdings hindrlich, wshalb s mhrr Möglichkin gib, dis Rsrikion zu umghn: 1. documn.domain Propry [2]: Dis Tchnik kann vrwnd wrdn, wnn JavaScrip-Cod zwir Frams von vrschidnn Sub-Domains zusammnarbin soll. Ein Zugriff auf in gänzlich andr Domain is abr nich möglich. 2. Cross-Documn Mssaging [3]: Wnn JavaScrip- Cod von vrschidnn Domains miinandr inragirn soll, kann das mils Mssag-Passing (documn.posmssag(daa)) rrich wrdn. Dabi wrdn nich Eignschafn andrr Frams glsn und gschribn, sondrn nur Nachrichn ausgausch. 3. Cross-Origin Rsourc Sharing [4]: Durch di Angab divrsr Accss-Conrol-HTTP-Rspons-Hadr könnn Rquss an bsimm andr Hoss rlaub wrdn. Dis wird zum Bispil vrwnd, um Rquss auf andr Sub-Domains zu rlaubn (z. B. Si wird gladn von und grif zu auf 4. JSONP [5]: Bi disr Tchnik wrdn HTML-scrip- Elmn dynamisch zur Si hinzugfüg. Dr URLparamrabhängig rzug JavaScrip-Cod, auf dn das scrip-src-aribu vrwis, nhäl inn Mhodnaufruf. Di lz dr angführn Tchnikn zur Sam-Origin- Policy-Umghung du schon auf inn ponzilln Gfahrnhrd hin. Mi JavaScrip könnn blibig Elmn dynamisch zum Dokumn hinzugfüg wrdn, wi zum Bispil auch scrip- und img-elmn. Bim Hinzufügn ins img-elmns bispilswis vrsuch dr Browsr unmilbar, das im src-aribu rfrnzir Bild zu ladn. Diss Aribu nsprich inm URL und kann dshalb auch Qury-Paramr nhaln. Zum Bispil kann das Profilbild ins Bnuzrs mi dm URL hp:// mysi.com/usrs/profilhumbnail?usrid=1233 rfrnzir wrdn. Obwohl hir in HTTP-GET-Anfrag gsll wird, wird dabi dnnoch Informaion zum Srvr hochgladn (usrid). Man sll sich nun vor, das in Angrifr s schaff, bösarign JavaScrip-Cod inzuschlusn, dr in img-elmn zum Dokumn hinzufüg, das sa ds harmlosn Profil-Bild-URLs di Sssion-ID aus 94 Enwicklr Magazin

3 GWT Scuriy Wb dm Cooki auslis und wirli: hp://vil.si.com/ mysiusrs?usrid=123&sssionid=awr123fdf. Als Enwicklr muss man also sichrslln, das solch Tags, di dynamisch hinzugfüg wrdn, vrraunswürdig URLs bsizn, da si nich nowndigrwis auf dnslbn Hos zign müssn, wi di Si, von dr dr JavaScrip-Cod gladn wurd. Di Sam-Origin Policy find hir nämlich kin Anwndung. Bdrohungn Folgndn Problmkagorin muss im Konx von JavaScrip-Applikaionn bsondrs Augnmrk gschnk wrdn: 1. Cross-si Scriping (XSS): 2. Cross-si Rqus Forgry (XSRF odr CSRF) Bi XSS schlus in Angrifr gwiss HTML-Elmn in in Dokumn in. Einig Bispil sind [6] das Hinzufügn ins img-elmns mi snsiivn Dan als Qury-Paramr im src-url (sih Bispil im vorign Abschni), das Hinzufügn ins ifram mi form-elmn (Übrnahm von snsiivn Dan in vrsck Fldr und Abschickn ds Formulars) sowi das Hinzufügn ins scrip-elmns zum Wirlin snsiblr Dan als Qury-Paramr odr zum Nachladn bösarign Cods. Im Allgminn sind möglich Sichrhislückn auf di unsachgmäß Bhandlung nich vrraunswürdigr Dan bi dr Programmirung zurückzuführn. Dis Dan müssn nsprchnd scapd wrdn, um nich zu inr Gfahr zu wrdn. Was sind nich vrraunswürdig Dan? All Dan, di von Bnuzrn inggbn wurdn: Dabi is s unrhblich, ob si in dr Danbank gspichr sind odr dirk aus inm Eingabfld kommn. Dan aus Drisysmn: Dnn auch dis wurdn shr wahrschinlich von inm Bnuzr inggbn, wnn s sich nich grad um in Zufallszahlnsrvic handl. Di Kagori von XSFR-Angriffn nuz s aus, dass Sssion-Cookis nich vrfalln, solang man sich nich xplizi von inr Si abmld odr dn Browsr schliß. Ein Angrifr lock inn Bnuzr auf sin Si, um ihm bösarign Cod zu übrragn (und z. B. nsprchnd Accss-Conrol-Rspons-Hadr, dami disr Cod auch XMLHTTPRquss an andr Srvr slln darf) und bnuz dann dssn Browsr, um inn Srvr anzugrifn, bi dm disr grad angmld is. OWASP mpfihl hir dn Einsaz ds Synchronizr Tokn Parns. Dabi wird in Tokn in dr Sssion ds Bnuzrs gspichr und an dn Clin übrragn. Dr Clin snd diss Tokn dann bi jdr Anfrag (im Hadr odr im Body) widr mi, sodass dr Srvr s übrprüfn kann. Da diss Tokn nich auomaisch vom Browsr migschick wird wi in Cooki, fhl diss Tokn, wnn in Angrifr in Anfrag rzug. An disr Sll möch ich mi Nachdruck auf di OWASP-Si Cross-Si Rqus Forgry (CSRF) Prvnion Cha Sha [7] vrwisn. Si rklär klar, wlch Tchnikn Bs Pracics sind und wlch Tchnikn, obwohl von viln Qulln als adäqua Sichrungsmöglichkin dargsll, nich funkionirn. Ds Wirn sll si auch di XSRF-Absichrungsimplmnirung von GWT in Rlaion. Soll man also srikr Anfordrungn an ihr XSRF-Absichrung habn, so find man dor Alrnaivn, wi man di Implmnirung adapirn kann. In dn nächsn Abschnin wrd ich nun bschribn, wi das Googl Wb Toolki Enwicklr dabi unrsüz, disn Risikn zu bggnn. Lising 1: SafHTML public class EmployWidg xnds Composi { priva HTML dscripion = nw HTML(); priva HTML displaynam = nw HTML(); public EmployWidg() { VricalPanl p = nw VricalPanl(); p.add(dscripion); p.add(displaynam); iniwidg(p); public void semploy(employproxy ) { // scaps all bu simpl hml lik <b>, <m>,... dscripion.shtml(simplhmlsaniizr.saniizhml(.gjobdscripion())); SafHml safdn = nw SafHmlBuildr().appndHmlConsan("<b>").appndEscapd(.gDisplayNam()).appndHmlConsan("</b>").oSafHml(); displaynam.shtml(safdn); Lising 2: XsrfToknSrvicSrvl konfigurirn <srvl> <srvl-nam>xsrf</srvl-nam> <srvl-class> com.googl.gw.usr.srvr.rpc.xsrftoknsrvicsrvl </srvl-class> </srvl> <srvl-mapping> <srvl-nam>xsrf</srvl-nam> <url-parn>/gw/xsrf</url-parn> </srvl-mapping> <conx-param> <param-nam>gw.xsrf.sssion_cooki_nam</param-nam> <param-valu>jsessionid</param-valu> </conx-param> Enwicklr Magazin

4 Wb GWT Scuriy Lising 3: RPC-Srvic-Inrfac impor com.googl.gw.usr.clin.rpc.rmosrvic; public inrfac MySrvic xnds RmoSrvic { public Sring mymhod(sring s); Lising 5: RPC-SrvicSrvl impor com.googl.gw.usr.srvr.rpc.xsrfprocdsrvicsrvl; impor com.xampl.clin.mysrvic; public class MySrvicImpl xnds XsrfProcdSrvicSrvl implmns MySrvic { public void mymhod(daa d) { // Do somhing inrsing wih 'd' hr on h srvr. Lising 4: RPC-Srvic-Aufruf XsrfToknSrvicAsync xsrf = (XsrfToknSrvicAsync)GWT.cra(XsrfToknSrvic. class); ((SrvicDfTarg)xsrf).sSrvicEnryPoin(GWT.gModulBasURL() + "xsrf"); xsrf.gnwxsrftokn(nw AsyncCallback<XsrfTokn>() { public void onsuccss(xsrftokn okn) { // Jdm RPC-Srvic muss nun diss Tokn übrgbn wrdn MySrvicAsync rpc = (MySrvicAsync)GWT.cra(MySrvic.class); ((HasRpcTokn) rpc).srpctokn(okn); rpc.dosuff(nw AsyncCallback<Void>() { //... ); public void onfailur(throwabl caugh) { ry { hrow caugh; cach (RpcToknExcpion ) { // Can b hrown for svral rasons: // - duplica sssion cooki, which may b a sign of a cooki // ovrwri aack // - XSRF okn canno b gnrad bcaus sssion cooki isn' // prsn cach (Throwabl ) { // unxpcd ); Lising 6: RqusTranspor public class XsrfProcdRqusTranspor xnds DfaulRqusTranspor { priva Quu<Pair<Sring, TransporRcivr>> quu = nw LinkdLis<Pair<Sring,TransporRcivr>>(); priva XsrfTokn okn; public XsrfProcdRqusTranspor() { srqusurl(gwt.ghospagbasurl() + "rf/gwrqus"); procd void configurrqusbuildr(rqusbuildr buildr) { supr.configurrqusbuildr(buildr); buildr.shadr("x-gwt-xsrf", okn.gtokn()); priva void initokn() { XsrfToknSrvicAsync xsrf = GWT.cra(XsrfToknSrvic.class); ((SrvicDfTarg)xsrf).sSrvicEnryPoin(GWT.gModulBasURL() + "xsrf"); xsrf.gnwxsrftokn(nw AsyncCallback<XsrfTokn>() public void onsuccss(xsrftokn rsul) { okn = rsul; //snd prviously quud rquss whil(!quu.isempy()) { Pair<Sring, TransporRcivr> p = quu.rmov(); XsrfProcdRqusTranspor.supr.snd(p.gLf(), public void onfailur(throwabl caugh) { ry { hrow caugh; cach (RpcToknExcpion ) { // Can b hrown for svral rasons: // - duplica sssion cooki, which may b a sign of a cooki // ovrwri aack // - XSRF okn canno b gnrad bcaus sssion cooki isn' // prsn cach (Throwabl ) { // unxpcd public void snd(sring payload, TransporRcivr rcivr) { if (okn!= null && quu.siz() == 0) { supr.snd(payload, rcivr); ls { quu.add(pair.cra(payload, rcivr)); 96 Enwicklr Magazin

5 GWT Scuriy Wb GWT und Cross-si Scriping (XSS) In dn misn Fälln wrdn di Gfahrn vor XSS auf absrakr Ebn von dn vrschidnn Widgs bhandl. Si scapn implizi dn Tx, dn man übrgib [8], [9]. Für vil Enwicklr wird s ausrichn, infach dis Widgs zu vrwndn und dadurch nich Gfahr zu laufn, XSS-Sichrhislückn zu krirn. Di Angriffsvkorn, di dann übrblibn sind: JavaScrip-Cod auf dr Hossi, dr nich von GWT rzug wurd Cod, dr innrhtml-fldr von Widg-Objkn sz Parsn von nich vrraunswürdign Srings mi dm JSON-API JavaScrip-Naiv-Inrfac-(JSNI-)Cod Bzüglich innrhtml wrdn inm von GWT di Inrfacs SafHTML und SafHTMLTmpla zur Vrfügung gsll. Di andrn Fäll sind hr xoischrr Naur, hir muss man sich auf sin ignn Scuriyinsink vrlassn. Lising 1 nhäl in infachs Bispil zur Vrwndung von SafHTML und SafHTMLBuildr. Di Job-Dscripion ds übrgbnn Angslln wird dabi mi dr Uiliy-Klass SimplHmlSaniizr bis auf infach, ungfährlich HTML-Tags (<b>, <m>, <ol>, <li>) scapd. Dr Anzignam wird in Fdruck und scapd in dn DOM-Tr ingfüg. GWT und Cross-si Rqus Forgry (XSRF) mi RPC GWT bi inn ingbaun RPC-XSRF-Schuz [10]. Hir wird in so gnannr RpcTokn migsnd, mi dssn Hilf di Auhniziä dr Anfrag übrprüf wrdn kann. Als RpcTokn wird in MD5-Hash dr Sssion-ID vrwnd. Wnn dr Hash dr Sssion-ID nich mi dm gsndn Hash-Wr übrinsimm odr fhl, dann kann di Anfrag nich vom ignn Clincod sammn. Dr Browsr vrhindr, dass Cookis von JavaScrip-Cod, dr von inr andrn Domain samm, glsn wrdn. Um disn Schuz zu vrwndn, muss man folgndrmaßn vorghn: Zunächs konfigurir man das Xsrf- ToknSrvicSrvl wi in Lising 2. Um in Srvic als XSRF-abgsichr zu dfinirn, kann man nwdr das Srvic-Inrfac annoirn (Lising 3) odr alrnaiv von XsrfProcdSrvic ablin. Am Clin muss man nun vor dm rsn abgsichrn RPC-Call in Anfrag an das XsrfToknSrvic für in nus Tokn slln, wi in Lising 4 dargsll. GWT und Cross-si Rqus Forgry (XSRF) mi dr RqusFacory Bi Vrwndung dr RqusFacory gib s kin xplizi Möglichki, in XSRF-Tokn bi Anfragn mizuschickn. Man kann das Tokn abr rch infach in di vrwnd RqusTranspor-Klass inbaun, indm man dor dn Hash als Hadr sz. Das Abfragn ds XSRF-Tokns kann äquivaln zum RPC-Bispil übr das XSRF-Srvl rfolgn. Ein Bispil dafür zig Lising 6. Nun muss man noch srvrsiig für di Validirung sorgn. Ich hab dazu inn Srvl-Filr implmnir, s wär abr auch möglich, das durch Ablin dr RqusFacorySrvl-Klass zu ralisirn. Da di Implmnirung dr Tokn-Validirung lidr dirk in dr GWT-Klass XsrfProcdSrvicSrvl is, hab ich mich, um das Bispil zu vrinfachn, nschidn, dn Cod infach von dor zu kopirn. Das Lising findn Si auf dr Wbsi zum Magazin. Fazi Das Googl Wb Toolki unrsüz Enwicklr mi sinn vorgfrign Widgs bi dr Vrmidung von XSS-Sichrhislückn. Darübr hinaus gib s in Vilzahl an fri vrfügbarn Widg Libraris, di wnig Wünsch offn lassn. Di Klassn im safhml-packag dr googl-usr-bibliohk hlfn dabi, Srings nsprchnd zu scapn. Zum XSRF-Schuz sll GWT mi dm XsrfToknSrvic und dm XsrfProcdSrvic- Srvl zwi Klassn zur Vrfügung, um das Synchronizr-Tokn-Parn für RPC-Srvics implmnirn zu könnn. Bnuzr dr RqusFacory könnn dis Klassn dazu nuzn, in Lösung basirnd auf inr RqusTranspor-Erwirung und inm Srvl-Filr zu implmnirn. Chrisian Proingr is Sofwararchik bi Cnarion Informaion Sysms GmbH in Win. Sin Inrssnsschwrpunk sind Sofwararchikur, Coninuous Ingraion, Coninuous Dploymn und Agil Daabas Enginring. Cnarion nwickl si mhr als zhn Jahrn Enrpris-Applikaionn im Java-Umfld. chrisian.proingr@cnarion.com hp:// Links & Liraur [1] hp://usamadar.com/2012/06/24/ging-around-browsrs-samorigin-policy-sop-wih-proxis-scrip-injcion-jsonp-and-cors/ [2] hp://adam.kahava.com/journal/2010/03/18/h-sam-originpolicy-jsonp-vs-h-documndomain-propry/ [3] hp:// [4] hp:// [5] hp:// [6] hp:// hml#cross-si [7] hps:// Forgry_%28CSRF%29_Prvnion_Cha_Sh [8] hp:// hml#xss [9] hp:// [10] hp:// Enwicklr Magazin

6