Ergebnis der Suchanfrage

• Forum: Programmieren allgemein

  AW: Grundsätzliche Frage SSL

   
    by mjustin, 16. Feb 2017
  Daher sollten Token etc. auch nicht in der URL enthalten sein.
  
  
  
  https://www.owasp.org/index.php/REST_Security_Cheat_Sheet#Authentication_and_session_management
• Forum: Programmieren allgemein

  AW: Grundsätzliche Frage SSL

   
    by mjustin, 16. Feb 2017
  Ein Restrisko ist dann vorhanden, wenn die Firewall angreifbar ist, zum Beispiel Request-Logs schreibt (in denen dann das Token erscheint), oder andere "heimliche" Anwendungen Zugriff haben können.
  
  Das Prüfen des Zertifikats durch den Client schliesst diese Lücke nicht.
• Forum: Programmieren allgemein

  AW: Grundsätzliche Frage SSL

   
    by mjustin, 15. Feb 2017
  Ja, das ist sie. Einziges Problem: der Client kennt das Token :)
  
  Bei einem SSL (TLS) Verbindungsaufbau zu einem HTTP Server wird zuerst der Server kontaktiert und die Verschlüssselung ausgehandelt. Die tatsächliche URL des Requests wird erst danach an den Server gesendet.
  
  Man in the middle Attacken sind dann aber z.B. über einen Proxy möglich, dessen Zertifikat vom Client akzeptiert wird....