Леонид Каганов: дневник

Температура 38, лежу в кровати с мобильником, делать нечего, размышляю. Ну никак не получается у меня выстроить концепцию сервера на одном домене. Ход мысли таков:

ДАНО: Авторизованный пользователь Вася Пупкин pupkin.binoniq.net зашел в блог соседа по серверу hacker.binoniq.net, где имеется (пока не выгнали) вредоносный JS-код. Это данность, которая не обсуждается. Вопрос в том, как сделать так, чтобы: 1) Хакер не смог украть васину авторизацию, 2) Хакер не смог заставить браузер Васи выполнить от имени Васи системные действия (оставить комментарий, например). Рассмотрим оба случая.

1) Авторизация у Васи — в куке, действующей для всего сервера *.binoniq.net Куку можно подсмотреть, но она привязана к Васиному IP, поэтому воспользоваться ею хакер не сможет. Если у Васи сменился IP — кука автоматически (незаметно для Васи) восстановится через переброску на служебный поддомен x.binoniq.net, для которого у Васи в браузере имеется вторая кука — не привязанная к IP, зато узкой видимости: только серверу x.binoniq.net. Разумеется, хакер может в своем аккаунте заставить браузер Васи открыть в iframe 1x1 этот x.binoniq.net, и даже, насколько я понимаю, получить средствами JS доступ к его содержимому (сервер-то родной). Но не к кукам ифрейма — window.[iframe x.binoniq].document.cookie браузер ему не покажет. Ведь не покажет же? Я правильно рассуждаю?

Тут есть еще, правда, тонкость, потому что я планирую использовать не только куки, но еще, например, браузерные хранилища. Но либо на них распространяются те же принципы, либо я их буду использовать для чего-то менее важного, нежели авторизация. Не суть.

Иными словами, по 1 пункту я не вижу изъянов. Проблемы с пунктом 2.

2) Чтобы от имени Васи (и незаметно для него) хакер смог выполнить системное действие (например, оставить комментарий), ему достаточно с помощью JS заставить васин браузер послать соответствующий аякс-запрос на сервер, типа:

Ajax(«comment.php»,{action:«send_comment»,id:123,text:«Я СОШОЛ СУМА И ПЕШУ ХУЙНЮ»});

Чтобы это стало невозможным, я планировал любые системные действия выполнять в два этапа: сперва окно, затем действие. Открывается окно (форма редактирования, вопрос «удалить пост?» и т.п.). Это окно содержит также уникальный токен, без которого сервер не примет действие:

Ajax(«comment.php»,{token:8AC4D5F3E05D1,action:«send_comment»,id:123,text:...

Это работает, если всплывающее окно на странице распахивается так, что доступа к нему и его токену у хакера нет, например грузится в iframe с системного x.binoniq.net. Хакер может распахнуть перед Васиным носом форму написания нового комментария, но не более. Вася сперва удивится, затем пожалуется в поддержку и хакера закроем.

Проблема в том, что мне сейчас подумалось: если x.binoniq.net на родном сервере, то хакер имеет доступ к его содержимому — всякие там window.[iframe x.binoniq].innerHTML — и вполне может прочесть конструкцию var token="8AC4D5F3E05D1" или

<INPUT TYPE=SUBMIT VALUE=«ОТПРАВИТЬ» ONCLICK='Ajax(«comment.php»,{token:8AC4D5F3E05D1.........>

Разумеется, все это невозможно, если домен для системных операций делать абсолютно чужим: не x.binoniq.net, а binoniq.ru Но мне очень не хочется предлагать всем, кто захочет себе поставить движок сервиса, регистрировать два домена.

Мне кажется, все-таки должно быть красивое решение. Но я его пока не вижу.

А вы?