Product-apim: APIM में लॉग इन करते समय पासवर्ड सादे पाठ में प्रवाहित हो रहा है

को निर्मित 11 मार्च 2020 · 7टिप्पणियाँ · स्रोत: wso2/product-apim

विवरण:

जब उपयोगकर्ता APIM में सभी मॉड्यूल में लॉग इन करता है तो पासवर्ड सादे पाठ में प्रवाहित होता है

प्रजनन के चरण:

ब्राउज़र में निरीक्षण मोड चालू करते समय https://localhost :9443/publisher में लॉगिन

एक बार लॉगिन करने के बाद, कृपया हेडर टैब में फॉर्म डेटा की जांच करें पासवर्ड सादे पाठ में दिख रहा है

जबकि OWASP A3-संवेदनशील डेटा एक्सपोजर के अनुसार, पासवर्ड सादे पाठ प्रारूप में यात्रा नहीं कर सकता है और इसे निम्नलिखित द्वारा रोका जाना चाहिए

ट्रांज़िट में सभी डेटा को सुरक्षित प्रोटोकॉल के साथ एन्क्रिप्ट करें, जैसे कि टीएलएस, परफेक्ट फॉरवर्ड सीक्रेसी (पीएफएस) सिफर, सर्वर द्वारा सिफर प्राथमिकता, और सुरक्षित पैरामीटर। HTTP स्ट्रिक्ट ट्रांसपोर्ट सिक्योरिटी (HSTS) जैसे निर्देशों का उपयोग करके एन्क्रिप्शन लागू करें।
संवेदनशील डेटा वाले प्रतिक्रिया के लिए कैशिंग अक्षम करें।
एक कार्य कारक (देरी कारक), जैसे Argon2, scrypt, bcrypt या PBKDF2 के साथ मजबूत अनुकूली और नमकीन हैशिंग फ़ंक्शन का उपयोग करके पासवर्ड स्टोर करें।

कृपया इसे देखें और मदद करें क्योंकि यह प्रमुख चिंता का विषय है और क्या हम इसे 3.1 के अंतिम संस्करण में शामिल कर सकते हैं। इसकी बहुत सराहना की जाएगी।

प्रभावित उत्पाद संस्करण:

एपीआईएम के सभी संस्करण

पर्यावरण विवरण (संस्करणों के साथ):

ओएस: विंडो 10

PrioritNormal TypBug

स्रोत

ashishpilania18

सबसे उपयोगी टिप्पणी

@ashishpilania18 मुझे यहां कोई समस्या नहीं दिख रही है। ब्राउज़र नेटवर्क टैब आपको आपके द्वारा सबमिट किए जा रहे फॉर्म के प्लेन टेक्स्ट वैल्यू दिखाने वाला है। यदि आप https का उपयोग कर रहे हैं तो फ़ॉर्म को वायर पर प्रसारित होने पर (ब्राउज़र से बाहर जाने पर) एन्क्रिप्ट किया जाएगा।

praminda 11 मार्च 2020

👍4 👎1

सभी 7 टिप्पणियाँ

praminda 11 मार्च 2020

👍4 👎1

@प्रमिंडा
मुझे समझ में आ गया है लेकिन OWASP द्वारा सुरक्षा दिशानिर्देशों के अनुसार, इसे क्लाइंट एंड पर https भेजने से पहले एन्क्रिप्ट किया जाना चाहिए, इसलिए क्लाइंट एंड पर भी कोई भी पासवर्ड नहीं देख सकता है।

ashishpilania18 11 मार्च 2020

मुझे अभी भी इस बात की चिंता है कि कोई तीसरा पक्ष इसका फायदा कैसे उठा सकता है। वैसे भी चूंकि यह एक सुरक्षा संबंधी समस्या है, क्या आप इस समस्या की रिपोर्ट परियोजना सुरक्षा नीति के अनुसार https://github.com/wso2/product-apim/security/policy पर कर सकते हैं

praminda 11 मार्च 2020

@प्रमिंडा
उदाहरण के लिए मैंने आपके नेटवर्क में एक स्निफर डाला था और जब आप लॉग इन कर रहे हैं तो मैं आपके सभी पैकेटों को सूँघ रहा हूँ जो आप भेज रहे हैं। इसलिए पैकेट आपके एचटीटीपी नेटवर्क से https पर पहुंचने से पहले मेरे पास आपका पासवर्ड होगा और जो पूरे सिस्टम को कमजोर बना देगा
कृपया इस पर एक नजर डालें

ashishpilania18 11 मार्च 2020

नमस्ते @ashishpilania18 ,

नहीं, यह संभव नहीं है कि एचटीटीपीएस कैसे काम करता है , बीच में सूँघने का मतलब है कि आपके पास एपीआई प्रबंधक सर्वर की निजी कुंजी होनी चाहिए, है ना?

tmkasun 13 मार्च 2020

@tmkasun

सुरक्षा कारणों से हमने आपके आवेदन को WAF पर रखा था, और इसके कारण कोई भी WAF पर पासवर्ड आसानी से देख सकता है। इसलिए इससे बचने के लिए हमें TLS पर पासवर्ड हैशिंग की आवश्यकता है। कृपया हमारी ओर से इसे लागू करने के लिए कोई तरीका सुझाएं और मदद करें।

ashishpilania18 13 मार्च 2020

@tmkasun

कृपया इस संबंध में मदद करें और किसी भी बदलाव का सुझाव दें जो हम अपनी ओर से कर सकते हैं और इसे कर सकते हैं

ashishpilania18 19 मार्च 2020

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Product-apim: APIM में लॉग इन करते समय पासवर्ड सादे पाठ में प्रवाहित हो रहा है

विवरण:

प्रजनन के चरण:

प्रभावित उत्पाद संस्करण:

पर्यावरण विवरण (संस्करणों के साथ):

सबसे उपयोगी टिप्पणी

सभी 7 टिप्पणियाँ

संबंधित मुद्दों