ARK. 1Słownik pojęćPodatności i klasy błędów
security through obscurity
Opieranie ochrony na tym, że napastnik nie zna szczegółów systemu (ukryty adres logowania, zmieniony prefiks tabel, ukryta wersja WordPressa). Jako jedyna warstwa jest zawodne; jako dodatek do aktualizacji i silnego uwierzytelniania odsiewa część automatycznych ataków.
TAB. 1Nazwapo angielsku
| Po angielsku | security through obscurity |
|---|---|
| Którą formą pisać | po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim. |
| Inne formy | security by obscurity · bezpieczeństwo przez niejawność · bezpieczeństwo przez zaciemnianie · bezpieczeństwo przez ukrywanie |
| Odmiana | nieodmienne; zwykle z rzeczownikiem: „zasada security through obscurity”, „technika security by obscurity” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | Sekurak pisze po angielsku i bez tłumaczenia: „walka z security by obscurity”, „zasady Security through obscurity”; polskie hostingi tak samo („technika Security by Obscurity”). |
|---|
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „jednym z plusów takiego rozwiązania jest też walka z security by obscurity” | sekurak.pl |
| EN | „dzięki praktycznej implementacji zasady Security through obscurity , nasze hasła są naprawdę bezpieczne.” | sekurak.pl |
| EN | „Mimo że zmiana prefiksu jest techniką Security by Obscurity (nie łata luki, a jedynie ją maskuje)” | seohost.pl |
| EN | „Security through obscurity is generally an unsound primary strategy.” | developer.wordpress.org |
TAB. 4Obok w tej dziedzinie6
| race condition | race condition | Błąd wynikający z nieprawidłowej synchronizacji operacji wykonywanych równocześnie na współdzielonym zasobie — wynik zależy wtedy od kolejności zdarzeń. Szczególnym, najczęściej wykorzystywanym w atakach przypadkiem jest TOCTOU, gdy stan jest sprawdzany w innym momencie niż używany, co pozwala np. wielokrotnie zrealizować jednorazowy kupon. |
| Reflected XSS | reflected XSS | Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link. |
| RFI (Remote File Inclusion) | remote file inclusion (RFI) | Podatność, w której aplikacja PHP dołącza przez include/require plik wskazany przez atakującego z zewnętrznego serwera i wykonuje go jak własny kod. Wymaga zwykle włączonej dyrektywy allow_url_include; w WordPressie zdarza się w porzuconych wtyczkach — np. Canto < 3.0.5 przez parametr wp_abspath. |
| security.txt | security.txt | Plik tekstowy /.well-known/security.txt (standard RFC 9116) z danymi kontaktowymi do zgłaszania podatności: adres e-mail lub formularz, klucz PGP, polityka ujawniania i data ważności (pole Expires). Na WordPressie można go dodać ręcznie w katalogu strony albo wtyczką. |
| session fixation | session fixation | Atak, w którym napastnik narzuca ofierze znany sobie identyfikator sesji (np. w linku), a gdy ofiara się zaloguje, przejmuje jej uwierzytelnioną sesję. Ochroną jest wydawanie nowego identyfikatora po zalogowaniu (w PHP session_regenerate_id(true)); rdzeń WordPressa nie opiera logowania na sesji PHP, więc ryzyko dotyczy głównie wtyczek, które same używają $_SESSION. |
| skoordynowane ujawnianie podatności | coordinated vulnerability disclosure (CVD) | Praktyka, w której badacz najpierw zgłasza podatność producentowi (lub zespołowi CERT jako stronie zaufanej), a szczegóły publikuje dopiero po wydaniu poprawki lub po upływie ustalonego terminu — CERT Polska publikuje wpisy CVE po 90 dniach od przekazania szczegółów producentowi. |