جلسه ۰۸ : آشنایی با مفهوم SOP در تست امنیت

• جزئیات
• نوع محتواآموزشی

سلام به همه پی وی لرنی های عزیز!
به دوره آموزش تست امنیت Security Testing خوش آمدید.
امروزه به صورت گسترده ای از اینترنت و دنیای وب استفاده می شود و جهان ما اکنون یک جهان آنلاین است که در آن بسیاری از مشاغل به سمت اینترنتی شدن پیش می روند. امروزه ما با پدیده های گسترده خرید و فروش در بستر اینترنت رو به رو هستیم؛ نمونه جهانی آن سایت آمازون است و نمونه ایرانی آن هم سایت دیجیکالا است.
خطرات و تهدید های زیادی در اینترنت وجود دارد؛ از هکر هایی که سعی می کنند از طریق روش های گوناگون از جمله فیشینگ اطلاعات کارت بانکی شما را سرقت کنند تا بد افزار هایی که قصد اختلال در سیستم کامپیوتری شما را دارند و البته ویروس های کامپیوتری و تروجان ها و غیره و غیره.
داده ها و اطلاعات کاربران و البته وبسایت ها ممکن است به سرقت برده شوند؛ مورد سوء استفاده قرار بگیرند و یا در فضای عمومی و بدون خواست صاحبان آن عرضه شوند. تست امنیت Security Testing امروزه مبحث داغ امنیت است تا آسودگی خیال افراد را در بستر اینترنت فراهم کند.
در جلسه قبل به آشنایی با رمزنگاری یا Cryptography در تست امنیت پرداختیم؛ رمزنگاری یا Cryptography علمی برای رمزگذاری و رمزگشایی داده ها است که به کاربران امکان می دهد اطلاعات حساس را ذخیره کنند و یا آن را از طریق شبکه های ناامن انتقال دهند، به گونه ای که فقط توسط گیرنده در نظر گرفته شده قابل خواندن باشد.
در این جلسه می خواهیم با مفهوم SOP در تست امنیت آشنا شویم.

مفهوم SOP در تست امنیت

(Same Origin Policy (SOP یک مفهوم مهم در مدل امنیتی برنامه وب است. طبق این خط مشی، اسکریپت هایی که از صفحه ای از یک سایت نشات می گیرند مجاز هستند و می توانند ترکیبی از موارد زیر باشند.

• Domain
• Protocol
• Port

دلیل این رفتار امنیت است. اگر try.com را در یک پنجره و gmail.com در یک پنجره دیگر داشته باشید، در حقیقت نمی خواهید یک اسکریپت از try.com برای دسترسی یا تغییر به محتوای gmail.com یا انجام اعمال در زمینه gmail خود داشته باشید.

در زیر صفحات وب با همان منبع وجود دارد. همانطور که قبلاً توضیح داده شد، همین منشا domain/protocol/por را در نظر بگیرد.

• http://website.com
• /http://website.com
• http://website.com/my/contact.html

در ادامه صفحات وب با منشاء مختلف وجود دارد.

• http://www.site.co.uk (دامنه دیگر)
• http://site.org (دامنه دیگر)
• https://site.com (پروتکل دیگر)
• http://site.com:8080 (درگاه دیگر)

Origin policy Exceptions مشابه برای اینترنت اکسپلور

اینترنت اکسپلورر دو استثناء عمده برای SOP دارد.

• اولین مورد مربوط به “Trusted Zones” است. اگر هر دو دامنه در منطقه قابل اعتماد باشند، Same Origin polic کاربردی نخواهد داشت.
• استثناء دوم در اینترنت اکسپلور مربوط به درگاه ها است. اینترنت اکسپلور شامل پستی به همان Same Origin نمی شود، از این رو http://website.om و http://wesite.com:4444 از همان مبدأ در نظر گرفته می شوند و هیچ محدودیتی اعمال نمی شود.

سخن پایانی

در این جلسه به آشنایی با مفهوم SOP در تست امنیت پرداختیم؛ (Same Origin Policy (SOP یک مفهوم مهم در مدل امنیتی برنامه وب است.
در جلسه بعدی قرار است راجع به کوکی ها به بحث و بررسی بپردازیم.
با پی وی لرن همراه باشید.