appengine http безопасен?

#google-app-engine #ssl

Вопрос:

Я думаю, простой вопрос.

Если я использую учетные записи пользователей Google в appengine

 from google.appengine.api import users

насколько безопасна остальная часть моего приложения для аутентификации моих пользователей по протоколу http (не https), т.Е. где слабые места такой настройки?

Спасибо

1. Думаю, это зависит от того, как закодировано ваше приложение, я бы подозревал.

2. @MindlessTux вам нужно будет быть более конкретным, чтобы я мог правильно оценить ваш комментарий. Спасибо.

Ответ №1:

Предположим, что все, что вы отправляете по http, может быть перехвачено и проверено злоумышленником. Сюда входит любой токен, который вы храните в их браузере для их аутентификации — злоумышленники тоже могут это увидеть и использовать для подделки запросов.

Если это звучит как «теоретическая» уязвимость, о которой вам не нужно беспокоиться, то вам не следует делать ничего, что связано с защитой пользовательских данных, пока вы не прочитаете о FireSheep и не поймете, как это работает и как вы могли бы предотвратить нечто подобное. (Это всего лишь один пример атаки, который вам нужно понять. Это не единственная возможная атака.)

Короче говоря, слабые места такой настройки — это все точки, где вы используете http для отправки всего, что хотите сохранить в тайне.

Ответ №2:

Ваш вопрос неясен, но если вы спрашиваете, может ли аутентификация пользователей с учетными записями Google в HTTP-приложении потенциально раскрыть пароли злоумышленнику, ответ — нет.

Даже если ваше приложение не использует SSL, пароли никогда не передаются в виде обычного текста. При запуске аутентификации пользователи перенаправляются на защищенную страницу в google.com чтобы ввести свои учетные данные. Учетные данные передаются через SSL, и в случае успешной аутентификации Google генерирует токен аутентификации, который передается обратно в ваше приложение и сохраняется в файле cookie. Пользовательский API создает внутренний RPC для преобразования этого токена обратно в учетные данные Google.

Максимум, что может сделать злоумышленник, это перехватить токен аутентификации и подделать пользователя на время действия токена (по умолчанию 1 день; настраивается до 2 недель). У них никогда не было бы доступа к паролям. Чтобы предотвратить подмену, вам нужно убедиться, что все зарегистрированные действия выполняются по протоколу HTTPS, а файл cookie аутентификации никогда не сохраняется через HTTP.