tls – آیا یک کلید عمومی زمانی که یک گواهی تجدید می شود باقی می ماند؟

بنابراین من در حال پیاده سازی گواهینامه در iOS هستم و توصیه می شود که زنجیره گواهی را با استفاده از ارزش های هش کلیدی بررسی کنیم.

منطق این امر این بود که ما گفته شد که تجدید گواهی سرور، همان کلید عمومی به این ترتیب، گواهی در سرور می تواند زمانی که آن را منقضی می شود، تمدید شود، و این تجدید هیچ تاثیری بر برنامه ندارد.

IOW، من نیازی به برنامه را با یک گواهی جدید به روز نمی کنم.

در حال حاضر ما با برداشتن به گواهی متوسط ​​که گواهینامه برگ (طول عمر طولانی تر) را امضا کرده اید، موضوع را حل می کنیم. به همان اندازه واضح است که این امر تا حدودی امن تر از پین کردن به برگ است.

با این حال، من در مورد برخی از نظرات اجرا شده است که به این معنی است که تجدید یک گواهی برگ ایجاد یک کلید عمومی جدید است. به خصوص اگر این تجدید ساختن با ایجاد یک CSR جدید انجام شود.

پس کدام است؟

Chrome اکنون همه کاربران Google را به مرورگر وارد می کند. آیا باید مراقب باشید؟

گوگل تغییر نحوه ورود به مرورگر را در اوایل ماه جاری تغییر داد: ورود به هر برنامه گوگل که اکنون شما را با Chrome نیز وارد می کند.

تغییر، که در اوایل ماه جاری منتشر شد با Chrome 69، قابلیت همگام سازی مرورگر Chrome را فعال نمی کند . Matthew Green، نوشتن در وبلاگ شخصی خود، استدلال می کند که این خیانت است، حتی اگر همگام سازی فعال نیست:

برای ده سال من یک سوال از طریق مرورگر Chrome خواسته شده است: "آیا می خواهید با سیستم وارد شوید حساب گوگل شما؟ »و برای ده سال من گفتم نه، از شما سپاسگزارم کروم همچنان این سوال را به من میپرسد – این فقط این است که اکنون من تصمیم من را نمیگیرد.

من متوجه شدم که از آنجا سبز میآید، مخصوصا پس از آنکه مدت زیادی به آن نگرفتید. اما اگر این لحظه ای است که گوگل مرورگر خود را به شیوه نامطلوب می کشد، من آن را نمی بینم. همگام سازی به طور پیش فرض فعال نیست، به این معنی که تغییرات زیادی برای کاربران از نقطه نظر حریم خصوصی عملی وجود ندارد. سبز مخالف است، زیرا اکنون تنظیمات را مشاهده می کند که پیش از آن نباید فکر کند. اما گوگل هیچ وقت اطلاعات بیشتری از اطلاعات خود را از قبل مشاهده نمی کند و مگر اینکه کاربران آن را انتخاب کنند.

برای من این چیزی نیست که کاربر معمولی Chrome باید زمان زیادی را صرف نگرانی در مورد آن کند، بسیاری از آنها سالها قبل به Chrome وارد شده بودند. در صورتی که این نوع از مزاحمت شما را نادیده بگیرد، از کروم استفاده نکنید.


آیا XSS از طریق MIME یک XSS ذخیره شده یا بازتاب شده را خراب می کند؟

عنوان این همه را می گوید. من درک می کنم که چگونه از XSS با استفاده از MIME استخراج استفاده می کنم، اما سوال این است آیا شما این نوع XSS را ذخیره یا بازتاب می کنید؟

OWASP می گوید

حملات ذخیره شده آنهایی هستند که اسکریپت تزریق شده به طور دائم
  ذخیره شده در سرورهای هدف ..
  قربانی سپس اسکریپت خرابکارانه از سرور را هنگامی که اطلاعات ذخیره شده را درخواست می کند بازیابی می کند

در حالی که حملات منعکس معمولا نیاز به تعامل با کاربر دارد، مانند کلیک کردن روی یک لینک مخرب برای مثال.

این کمی در مورد نوعی XSS این مورد زیر خواهد بود. من می توانم فایل من را تغییر دهم تا جاوا اسکریپت را در ابتدا داشته باشم، مرورگر آن را به عنوان یک فایل JS تفسیر کرده و اجرا کند. آیا این یک XSS ذخیره شده است؟

با تشکر از همه کمک!