web-applications - 富客户端中的网络安全

Question

我目前正在为使用富客户端的客户构建一个 Web 应用程序。 (弹性)

在此应用程序中，用户有一个密码，以及在整个系统中用于识别目的的一些其他关键属性。 (例如，母亲的娘家姓)。

用户最初使用密码登录。然后，在整个应用程序中，每当用户要执行“破坏性”操作时，他们都需要输入这些其他识别数据之一。

我的客户要求我在登录后加载这些属性，将它们存储在内存中，并在客户端上对这些数据执行验证，然后再调用服务器执行破坏性操作。

我觉得这是一个潜在的安全风险，因为有可能(尽管很难)欺骗网络客户端，并检索通过网络发送的数据。我的客户认为我偏执，并敦促我前进。

需要考虑的一些关键点:

• 应用程序通过 HTTPS 提供服务
• 所有客户端/服务器通信都通过 HTTPS 进行
• 此数据仅在登录后发送给客户端
• 在登录期间， session 会发出一个安全 cookie。

因此，在很大程度上，该应用程序相当安全。

然而，我的直觉告诉我，虽然破解数据可能很困难，但与我们根本不发送数据并在服务器上进行验证相比，它的安全性仍然较低。

我是偏执狂，还是真正的安全风险？

如果这是一个有效的问题，是否有任何最佳实践文档可供我向客户指出以证实我的观点？

Answer 1

检查应该在服务器端完成。

如果未经授权的人可以访问 session ID，他可以随时使用 session ID 调用服务器并下载个人属性。那就是将私有(private)信息泄露给攻击者。

更重要的是，攻击者并不真正关心您在 flex 应用程序中执行的验证。他只会使用网络嗅探器来查看正在进行的服务器调用 - 由于这些服务器调用不需要个人属性，他可以绕过您的安全模型。

简而言之，所有的安全验证都应该在服务器端完成。这是一个常见的弱点，您可以在此页面上阅读更多相关信息 http://cwe.mitre.org/data/definitions/602.html