Entry Restriction Results.We rst c

Entry Restriction Results.
We rst checked our implementation of entry restriction
against the stated security goals and found that assertion 2
above was violated. We conrmed that this violation also
existed in our implementation at that time and note (with
some sheepishness) that the implementation bug resembles
ones previously found by [9] in Referer validation defenses
proposed by [32].
The violation, illustrated in Figure 2, occurs because of
HTTP redirects. Suppose origin bank:com is a victim origin
that uses entry-point restriction, and origin attack:com is
a external origin that does not use entry-point restriction.
A page created by bank:com is allowed by the browser to
cause a request for a non-entry resource in attack:com, since
attack:com does not use entry-point restriction. attack:com
may then issue a redirect to the browser telling it to nd the
requested resource back at bank:com. The browser will then
re-issue the request, now to bank:com, which will be granted
by bank:com because the request was initiated by a context
owned by bank:com. This violates the integrity goal because
the external origin attack:com plays a role in redirecting the
request back to bank:com, thus
equesting" the non-entry
resource.
To x this violation, we updated our implementation

ผลลัพธ์ (ไทย) 1:

รายการข้อจำกัดผลลัพธ์เรา rst ตรวจสอบของเราดำเนินรายการข้อจำกัดเป้าหมายความปลอดภัยที่ระบุไว้ และพบว่ายืนยัน 2ข้างต้นถูกละเมิด เราติด rmed ที่ละเมิดนี้ยังอยู่ในงานของเราในขณะนั้นและหมายเหตุ(บาง sheepishness) ที่มีลักษณะข้อบกพร่องการดำเนินงานคนพบก่อนหน้านี้ ด้วย [9] ในการป้องกันตรวจสอบ Refererนำเสนอ โดย [32]ละเมิด แสดงในรูปที่ 2 ที่เกิดขึ้นเนื่องจากเปลี่ยนเส้นทาง HTTP สมมติว่าจุดเริ่มต้นของธนาคาร: com เป็นกำเนิดเหยื่อที่ใช้จำกัดจุด และเป็นจุดเริ่มต้นโจมตี: comแหล่งกำเนิดภายนอกที่ใช้จุดจำกัดเพจที่สร้างขึ้น โดยธนาคาร: com ได้ ด้วยเบราว์เซอร์ทำการร้องขอสำหรับทรัพยากรไม่ใช่รายการโจมตี: com ตั้งแต่โจมตี: com ใช้จุดจำกัด โจมตี: comแล้วออกตัวเปลี่ยนเส้นทางไปยังเบราว์เซอร์ที่บอกกับ ndทรัพยากรที่ร้องขอสำรองที่ธนาคาร: เบราว์เซอร์จะคำ การธนาคาร: com ซึ่งจะได้รับการออกใหม่โดย: com ธนาคารเนื่องจากคำขอเริ่ม ด้วยบริบทเจ้าของธนาคาร: com นี้ละเมิดเป้าหมายสมบูรณ์เนื่องจากโจมตี: com แหล่งกำเนิดภายนอกมีบทบาทในการเปลี่ยนทิศทางการขอไปธนาคาร: com,
equesting ดังนั้น"ไม่มีรายการทรัพยากรกับ x การละเมิดนี้ เราปรับปรุงงานของเรา

ผลลัพธ์ (ไทย) 2:

รายการผล จำกัด .
เรามีการตรวจสอบการดำเนินงานครั้งแรกของเราของการ จำกัด
การเข้ากับเป้าหมายการรักษาความปลอดภัยที่กำหนดไว้และพบว่ายืนยัน2
ข้างต้นถูกละเมิด เราต่อต้าน rmed
ว่าการละเมิดนี้ยังอยู่ในการดำเนินงานของเราในเวลานั้นและทราบ(ที่มีความเหนียมอายบางส่วน) ที่ข้อผิดพลาดการดำเนินการมีลักษณะคล้ายกับคนที่พบก่อนหน้านี้โดย[9] ใน Referer ป้องกันการตรวจสอบเสนอโดย[32]. การละเมิดที่แสดงในรูปที่ 2 เกิดขึ้นเนื่องจากการเปลี่ยนเส้นทางHTTP สมมติว่าแหล่งกำเนิดธนาคาร: ดอทคอมที่มาเหยื่อที่ใช้ข้อ จำกัด การเข้าจุดและการโจมตีกำเนิด: com เป็น. ต้นกำเนิดภายนอกที่ไม่ได้ใช้ข้อ จำกัด การเข้าจุดหน้าสร้างขึ้นโดยธนาคาร: ดอทคอมที่ได้รับอนุญาตจากเบราว์เซอร์ที่จะทำให้เกิดการร้องขอ สำหรับทรัพยากรที่ไม่เข้าในการโจมตี: คอมตั้งแต่การโจมตี: คอมไม่ได้ใช้ข้อ จำกัด การเข้าจุด การโจมตี: คอมแล้วอาจออกเปลี่ยนเส้นทางไปยังเบราว์เซอร์บอกให้ครั้งทรัพยากรที่ร้องขอกลับมาที่ธนาคาร: ดอทคอม เบราว์เซอร์นั้นจะre-ปัญหาการร้องขอในขณะนี้ไปยังธนาคาร: ดอทคอมซึ่งจะได้รับจากธนาคาร: คอมเนื่องจากคำขอที่ถูกริเริ่มโดยบริบทที่เป็นเจ้าของโดยธนาคาร: ดอทคอม นี้ละเมิดเป้าหมายสมบูรณ์เพราะการโจมตีมาจากภายนอกที่: ดอทคอมมีบทบาทในการเปลี่ยนเส้นทางการร้องขอกลับไปยังธนาคาร: ดอทคอมจึง ขอ "ไม่ใช่รายการ. ทรัพยากรเพื่อ x ละเมิดนี้เรามีการปรับปรุงการดำเนินงานของเรา

ผลลัพธ์ (ไทย) 3:

ผลการตรวจสอบรายการ .
เรา  RST ใช้ของเราของรายการจำกัด
กับระบุเป้าหมายและการรักษาความปลอดภัยพบว่า 2
ข้างบนถูกละเมิด เราหลอก  rmed ที่การละเมิดนี้
มีอยู่ในการดำเนินงานของเราในเวลานั้น และหมายเหตุ (
บาง sheepishness ) ที่ใช้งานที่พบก่อนหน้านี้ โดยแมลงคล้ายกับ
[ 9 ] ในอ้างอิงการตรวจสอบการป้องกัน

เสนอโดย [ 32 ]การละเมิด , แสดงในรูปที่ 2 เกิดขึ้นเพราะ
http การเปลี่ยนเส้นทาง สมมติว่า ผลิตภัณฑ์ของธนาคาร จึงเป็นเหยื่อที่มา
ที่ใช้จุดการ จำกัด , และที่มาโจมตี : com เป็น
ภายนอกประเทศที่ไม่ได้ใช้จุดจำกัด .
หน้าสร้างโดยธนาคาร : com ที่ได้รับอนุญาตโดยเบราว์เซอร์

สาเหตุขอไม่รายการทรัพยากรในการโจมตี : com ตั้งแต่
โจมตี :จึงไม่ใช้รายการจุดจำกัด . โจมตี : com
อาจออกเปลี่ยนเส้นทางไปยังเบราว์เซอร์บอกมัน  ND
ร้องขอทรัพยากรกลับมาที่ธนาคาร : com เบราว์เซอร์จะ
Re ปัญหาการร้องขอ ตอนนี้ธนาคาร : com ซึ่งจะได้รับ
โดยธนาคาร : com เพราะคำขอถูกริเริ่มโดยบริบท
เป็นเจ้าของโดยธนาคาร : com นี้เป็นการละเมิดความสมบูรณ์เป้าหมายเพราะ
การโจมตีที่มาจากภายนอก :จึงมีบทบาทในการเปลี่ยนเส้นทาง
ขอกลับไปธนาคาร : com , ดังนั้น N ขอ " ไม่เข้า

กับทรัพยากร  x การละเมิดนี้เราปรับปรุงการดำเนินงานของเรา