Обратный веб-прокси может ускорить загрузку веб-сайта, но также увеличивает поверхность атаки страницы. Это может подвергнуть владельцев и посетителей сайта риску.
Когда вы посещаете веб-страницу, в фоновом режиме выполняется несколько операций. Даже если вы ничего не нажимаете, сайт обрабатывает такую информацию, как страница, на которой вы находитесь, ваш IP-адрес и используемое устройство. Определенные правила применяются к транзакциям, которые происходят в этом промежуточном программном обеспечении. Злоумышленники, которые знают об этом и о том, как эти ограничения реализованы, могут использовать это для кражи вашей информации. Чтобы лучше понять проблему, рассмотрим понятие обратного веб-прокси.
Что такое обратный веб-прокси?
Обратный веб-прокси обрабатывает и оптимизирует ваши транзакции, получая доступ к интернет-сайтам перед их передачей на внутренний веб-сервер. Обработанные и оптимизированные данные отправляются на соответствующие веб-серверы обратным веб-прокси. Этот процесс обеспечивает как меру безопасности, так и повышение производительности.
Можно извлечь выгоду из множества различных систем, чтобы использовать возможность обратного веб-прокси. Ты можешь использовать брандмауэр веб-приложений (WAF), балансировщик нагрузки, устройства, которые можно защитить от DDoS-атак, или платформы и системы, такие как Cloudflare, для обратного веб-прокси.
Общим для этих систем является то, что они обеспечивают связь между сервером и клиентом. Когда вы запрашиваете веб-сайт, этот запрос не идет напрямую на сервер. Обратный веб-прокси между сервером и веб-сайтом проверяет и оптимизирует эти запросы. Например, система, которая подозревает, что непрерывный HTTP-запрос может быть DDoS-атакой, фильтрует эти запросы. и, при необходимости, заносит в черный список устройство, с которого исходят запросы, предотвращая его доступ к сайт. Короче говоря, цель состоит в том, чтобы обеспечить контроль между запросом и сервером.
Влияние обратного веб-прокси на производительность
Давайте рассмотрим, как обратный веб-прокси повышает производительность на примере, например, веб-сайта кафе. Представьте себе текст, описывающий кофе на этом сайте, и несколько изображений кофе в меню. Поскольку эти изображения и тексты не будут меняться постоянно, можно внести некоторые улучшения в производительность. Если вы храните URL-адреса этих статических изображений на обратном веб-прокси, вы кэшируете на обратном веб-прокси.
Другими словами, при первом входе на сайт обратный веб-прокси сохранит все изображения в вашем кеше и обеспечит более быстрое обслуживание при втором входе. В результате нагрузка на сайт будет значительно снижена, поэтому сайт будет загружаться быстрее.
Преимущества обратного веб-прокси
Подводя итог, почему вы можете захотеть рассмотреть обратный веб-прокси, знайте, что он может:
- Увеличение скорости доступа в Интернет и увеличение скорости передачи данных, что ускоряет загрузку веб-страниц.
- Скрыть свои личные данные. Обратный веб-прокси шифрует все данные, которые вы отправляете и получаете с вашего компьютера, и скрывает ваши личные модели использования.
- Используйте различные технологии брандмауэра для защиты ваших личных данных.
- Устраните блокировки, с которыми вы сталкиваетесь при доступе к веб-сайтам, и предотвратите блокировку.
Как возникает уязвимость прокси-кэша?
Все данные, сохраненные в вашем кеше обратным веб-прокси, хранятся с их расширениями файлов. Например, изображения имеют такие расширения, как «.jpg» и «.png», а тексты — «.txt». Это означает, что злоумышленник, взламывающий этот кеш, может выяснить, что вы видели или делали на сайте, просматривая файлы, к которым вы обращались.
Например, рассмотрим сайт с адресом пример.com/логин.php. Предположим, что вы можете получить доступ к этому адресу, введя свое имя пользователя и пароль, и что страница, к которой вы обращаетесь, принадлежит динамически работающему файлу PHP. Если вы помните, кэшированные файлы были просто статическими файлами. Таким образом, обратный веб-прокси не будет кэшировать такой файл PHP.
Но иногда все не так просто. В некоторых случаях при запросе несуществующего адреса вы получите Ошибка 404 страница не найдена. Но помимо этой ошибки веб-сервер выдает вам другую важную информацию. Когда вы запрашиваете недопустимый URL-адрес, который не существует, действительная часть запрошенного вами URL-адреса может находиться на сервере. В этом случае, даже если вы запросите неверный адрес, вы можете получить в ответ действительную часть этого неверного адреса. В таких случаях злоумышленники подозревают, что здесь может быть уязвимость безопасности, и готовятся к атаке.
Теперь давайте рассмотрим другой URL-адрес, например example.com/login.php/muo.jpg. Предположим, сервер все еще показывает вам пример.com/логин.php потому что такого файла нет на сервере.
Если вы заметили, запрошенный вами адрес принадлежал файлу JPG, а это значит, что это полностью статичный файл. Помните, что веб-разработчики могут хранить статические файлы на обратном веб-прокси, поскольку содержимое со статическими расширениями файлов, подобным этому, не нужно динамически перезагружать на веб-сайте. Основная цель веб-разработчиков — получить более эффективный и высокопроизводительный веб-сайт. В этом случае, даже если такого адреса нет, прокси вас кеширует. Теперь любой, кто введет этот адрес, увидит страницу, на которую вы вошли с вашим логином и паролем.
Злоумышленник, который хочет воспользоваться такой уязвимостью, попытается заставить вас перейти по этой ссылке, сократив эту ссылку или иным образом обманув вас. Когда вы нажимаете на эту поддельную ссылку, вы понимаете, что ничего не происходит, но теперь вы создали кеш на обратном веб-прокси. Единственное, что будет делать злоумышленник, — это использовать вашу информацию.
Меры предосторожности
Лучший способ избежать уязвимости обратного веб-прокси — заранее определить, как сервер будет обрабатывать несуществующие файлы. Файл, который не существует, не должен создавать кеш. Кроме того, если вы являетесь веб-разработчиком, теперь вы знаете, что можете хранить некоторый контент и документы на обратном веб-прокси. Очень важно, чтобы вы периодически проверяли данные, которые вы храните в обратном веб-прокси, и тщательно выполняли эти проверки. Освоение рабочей логики веб-прокси создаст очень важную информацию о безопасности как для вас, так и для пользователей, которые будут использовать ваш веб-сайт.
Помните, что злоумышленники всегда будут на шаг впереди вас. Вот почему вам полезно принять все меры предосторожности и глубже понять технологии, которые вы используете. Для этого за несколько шагов вы можете создать свой веб-прокси и протестировать себя.
