on
หลังจากที่ fan page ของ Mark Zuckerberg ถูกแฮ็ก ทาง Facebook ก็เพิ่มระดับความปลอดภัยของเว็บไซต์ ด้วยการเปิดให้ผู้ใช้เลือกใช้งานผ่านโปรโตคอล HTTPS ได้ตลอดเวลาครับ
ก่อนหน้านี้โดยปกติแล้ว Facebook จะใช้โปรโตคอล HTTPS แค่ตอน log in เท่านั้น ซึ่งเปิดโอกาสให้มีการ "ไฮแจ็ก" session cookie ได้ อย่างที่ซอฟต์แวร์ Firesheep แสดงให้เห็นมาแล้วว่ามันอันตรายแค่ไหน
รู้สึกอุ่นใจขึ้นเยอะเลยครับ น่าจะทำมาตั้งนานแล้วนะเนี่ย สำหรับเว็บไซต์อื่น ๆ ที่มี HTTPS ให้ใช้แต่ไม่ตลอดเวลานั้น เราสามารถบังคับได้ด้วยส่วนเสริมของ Firefox ที่ชื่อ HTTPS Everywhere ครับ
[อัปเดต] แม้ในบล็อกของ Facebook จะบอกว่า "Starting today" แต่ตอนนี้ (ประมาณเที่ยงคืนครึ่ง เวลาไทย) ผมยังตั้งค่านั้นไม่ได้แฮะ
ที่มา - ReadWriteWeb
ของผมก็ยังไม่ได้นะ
polaromonas Thu, 27/01/2011 - 00:34
ของผมก็ยังไม่ได้นะ
ยังไม่ได้เหมือนกันครับ
JPorsh Thu, 27/01/2011 - 00:43
ยังไม่ได้เหมือนกันครับ
ยังด้วยคน
lancaster Thu, 27/01/2011 - 00:54
ยังด้วยคน
สงสัยทยอยอัพ
llPorZall Thu, 27/01/2011 - 02:21
สงสัยทยอยอัพ
ส่วนตัวใช้ plugin ssl
soloman Thu, 27/01/2011 - 05:10
ส่วนตัวใช้ plugin ssl anywhere ใน firefox อยู่แล้ว
HTTPS มันไม่เห็นจะช่วยเรื่อง
popomut Thu, 27/01/2011 - 07:23
HTTPS มันไม่เห็นจะช่วยเรื่อง session hijacking เลย
ทำไมถึงคิดว่ามันไม่ช่วยล่ะครั
lew Thu, 27/01/2011 - 07:29
In reply to HTTPS มันไม่เห็นจะช่วยเรื่อง by popomut
ทำไมถึงคิดว่ามันไม่ช่วยล่ะครับ
https เป็นการเข้ารัหสข้อมูล
popomut Thu, 27/01/2011 - 09:31
In reply to ทำไมถึงคิดว่ามันไม่ช่วยล่ะครั by lew
https เป็นการเข้ารัหสข้อมูล ระหว่างต้นทางปลายทาง
การขโมย session โดยใช้ XSS นั้น จะเป็นการหลอกให้ user run javascript ที่จะไปอ่าน cookie เพื่อน get session id แล้วส่งไปให้ hacker
ส่วนรายละเอียดการ implement ลองหาเพิ่มเติมตาม security sites ดูนะครับ มันค่อนข้างยาวนิดนึง
Session Hijack มีหลายแบบครับ
bongikairu Thu, 27/01/2011 - 12:13
In reply to https เป็นการเข้ารัหสข้อมูล by popomut
Session Hijack มีหลายแบบครับ ทั้งแบบแอบดึงออกจากเครื่องเหยื่อเองเลยหรือแอบฉกไประหว่างทางครับ
ใช่ครับ และแบบที่นิยม คือแบบ
popomut Thu, 27/01/2011 - 13:36
In reply to Session Hijack มีหลายแบบครับ by bongikairu
ใช่ครับ
และแบบที่นิยม คือแบบ ที่ฉกจากเครื่องเหยื่อ ไม่ใช่ระหว่างทางครับ
ฉกระหว่างทางมันมีข้อจำกัดหลายแบบครับ ส่วนใหญ่ต้องอยู่ใน network เดียวกันเพื่อ sniff package.
ยังไง https ก็คงช่วยไรไม่ได้มาก สำหรับเรื่องนี้
เพิ่มเติมให้ละกัน การป้องกันพ
popomut Thu, 27/01/2011 - 13:44
In reply to Session Hijack มีหลายแบบครับ by bongikairu
เพิ่มเติมให้ละกัน
การป้องกันพวก session hijacking มันต้องไปป้องกันที่ application coding level มากกว่า
เช่นการ convert dangerous/script characters ให้เป็น html entity
การ check page ordering, package ordering(จำชื่อเรียกอย่างเป็นทางการไม่ได้)
การที่ facebook เปิด https ให้ใช้นั้นผมว่า คงจะมีเหตุผลอื่นด้วย นอกเหนือจากการป้องกัน session hijacking
และที่สำคัญ มันคงเป็นการตัดสินใจที่ยากลำบากพอสมควรเนื่องจากว่าการทำ https ทุกๆ transaction จะกิน resource มากกว่าหลายเท่า
^ ^ ตอบข้างบน ไอ้ XSS
lancaster Thu, 27/01/2011 - 15:05
In reply to Session Hijack มีหลายแบบครับ by bongikairu
^
^
ตอบข้างบน
ไอ้ XSS ที่คุณว่ามามันป้องกันได้ครับถ้าไม่สะเพร่า แล้วเค้าก็(พยายาม)ป้องกันหมดแล้วที่ coding level แบบที่คุณว่ามานั่นแหละ
แต่ต่อให้ป้องกันแบบที่คุณว่ามาดีเลิศแค่ไหน ถ้าไม่ใช้ HTTPS ก็ตกม้าตายอยู่ดี
^ ^ ตอบคุณ
popomut Thu, 27/01/2011 - 15:39
In reply to Session Hijack มีหลายแบบครับ by bongikairu
^
^
ตอบคุณ lancaster
ผมไม่แน่ใจว่า คุณหมายความว่ายังไงที่บอกว่า ตกม้าตาย
ถ้าคุณ coding at application level ดีพอ ต่อให้ hacker ได้ session ID ไปจริงๆ แต่ว่าคุณ coding โดยใช้เทคนิค การตรวจสอบลำดับการ access web page, หรือมีการแนบ parameter ที่คอยเพิ่ม ตัวเลข ทุกๆ request&response (developer อาจจะเขียน code force signout ดักไว้ ถ้าหากว่า page ordering, หรือลำดับตัวเลขมันผิด). หรือจะทำแบบ amazon ก็ได้ที่ทำการ force login ทุกครั้งก่อนทำ transaction ที่สำคัญ (วิธีนี้อาจจะไม่เหมาะกับ facebook).
จริงๆแล้วอาจจะต้องใช้หลายๆเทคนิคมา combine กัน ที่พูดไปข้างบนแค่ยกตัวอย่างง่ายๆเท่านั้นครับ
ผมชอบดู geek
kswisit Thu, 27/01/2011 - 20:47
In reply to Session Hijack มีหลายแบบครับ by bongikairu
ผมชอบดู geek (ถก)เถียงกันจริงๆ อ่านแล้วได้ความรู้
ผมอยากรู้ว่า ถ้าเกิดเรา
kiak Fri, 28/01/2011 - 00:54
In reply to Session Hijack มีหลายแบบครับ by bongikairu
ผมอยากรู้ว่า ถ้าเกิดเรา ordering แล้ว เราเปิดหลายๆหน้า มันไม่รวนหรอครับ
การทำ Session Hijack
lew Thu, 27/01/2011 - 14:39
In reply to https เป็นการเข้ารัหสข้อมูล by popomut
การทำ Session Hijack มันไม่ต้องใช้ XSS เสมอไปนี่ครับ
และผมเองก็ยังไม่เคยได้ยินว่า Facebook มีปัญหา XSS
:D ที่ผมอยากจะบอกคุณก็คือ ้ht
popomut Thu, 27/01/2011 - 15:14
In reply to การทำ Session Hijack by lew
:D
ที่ผมอยากจะบอกคุณก็คือ
้https มันป้องกัน session hijacking ไม่ได้ทั้งหมด ไงครับ
ต่อให้ encrypt data ด้วย https, session ID ก็ยังคงถูกขโมยได้โดยใช้ XSS เทคนิค อยู่ดี
แล้วไอ้ที่คุณว่า "HTTPS
lew Thu, 27/01/2011 - 15:18
In reply to การทำ Session Hijack by lew
แล้วไอ้ที่คุณว่า "HTTPS ไม่เห็นช่วย" นี่มันเป็นจริงตรงไหนหรือครับ
ที่ผมบอกว่ามันไม่ช่วย
popomut Thu, 27/01/2011 - 16:01
In reply to การทำ Session Hijack by lew
ที่ผมบอกว่ามันไม่ช่วย ก็เป็นเพราะว่า ยังไงก็โดน XSS อยู่ดีครับ
หรือถ้าจะให้ใช้คำพูดเป๊ะๆ ผมอาจจะต้องพูดว่า มันช่วยได้บ้าง ละกันครับ
และการที่คุณบอกว่า "ไม่เคยได้ยินว่า Facebook มีปัญหา XSS" ก็ไม่ได้หมายความว่า facebook ไม่เคยโดน hack เรื่องนี้
ลองดูอันนี้ละกันครับ
http://www.xssed.com/news/80/New_highly_critical_Facebook_XSS_vulnerabilities_pose_serious_privacy_risks/
**ต้อง offline ก่อนละครับ อาจจะไม่ได้มา discuss ด้วยหลายวัน
มันก็ปลอดภัยได้ในระดับนึง
viroth Thu, 27/01/2011 - 09:59
มันก็ปลอดภัยได้ในระดับนึง คนใช้งานก็รู้สึกปลอดภัยมากขึ้น แฮคเกอร์มันเก่งคงช่วยไม่ได้
ฝรั่งก็มีวัวหายแล้วล้อมคอกเหม
pines Thu, 27/01/2011 - 18:28
ฝรั่งก็มีวัวหายแล้วล้อมคอกเหมือนกันแฮะ อิอ
ผมชอบ กระทู้นี้จัง แต่ https
melloz Thu, 16/02/2012 - 10:29
ผมชอบ กระทู้นี้จัง
แต่ https ทำให้ บริษัท เก็บ log ไม่ได้ สะบายใจ จัง