Przedzięcie http_referer zostało utracone przy użyciu https

Question

Wyobraź sobie dwie strony internetowe, obie wyświetlane przy użyciu https. Mieszkają w różnych domenach.

Jak mogę (rozsądnie) upewnić się, że ktoś przychodzący na moją stronę przyszedł przez hiperłącze znajdujące się w innej (specyficznej) domenie? Chcę zezwolić na ruch z tej domeny. Wszelkie pomysły na najlepszy sposób osiągnięcia tego będą mile widziane.

Próbowałem spojrzeć na HTTP_REFERER, ale najwyraźniej nie jest on wysyłany w tym przypadku. Wiem, że specyfikacja HTTP RFC nie wysyła informacji o stronie odsyłającej z https -> http, ale czy dotyczy to również https -> https między domenami lub certyfikatami ssl?

Moja domena działa na ASP.NET, jeśli to ma znaczenie. Nie mam kontroli nad domeną źródłową.

Dziękuję.

Answer 1

czy też nie RFC pozwalają wysyłania HTTP_REFERER lub nie, znajdziesz, że wielu klientów internetowych i/lub pełnomocnictwa lub inne bramy związane z prywatnością między nim a serwerem usunie lub sfałszować HTTP_REFERER w nagłówek, w którym większość schematów uwierzytelniania opartych na http_referer jest częściowo funkcjonalna.

Jeśli masz jakąś współpracę z opiekunem pierwszego serwera https, możesz zgodzić się na przesłanie kodu sortowania czasu i coś takiego w żądaniach do serwera. Po sprawdzeniu hashcode na końcu dowiesz się, że Twój gość https przyszedł z innego serwera [bardzo niedawno].

Answer 2

Opracowanie odpowiedzi mjv: powinieneś umieścić HMAC (RFC 2104) w adresie URL. Mieć wspólny sekret między dwoma serwerami i mieć serwer źródłowy generujący łącza formularza/timestamp/hmac/path. Hmac powinien zostać zweryfikowany z hmac (key, timestamp + path), aby różne obrazy generowały różne hmacs. Serwer docelowy może następnie zdecydować, czy znacznik czasu jest wystarczająco młody, aby pochodzić z przekierowania.

Można to ograniczyć, umieszczając adres IP klienta w hmac, upewniając się, że ten sam klient, który otrzymał adres URL, również go rozwiązuje. Może to być jednak podatne na błędy w obecności serwerów proxy HTTP, które przetwarzają tylko http, a nie https lub odwrotnie.

Answer 3

Jeśli nie masz kontroli nad stroną odsyłającą, masz pecha.

Snajpera polecającego, jeśli możesz, a jeśli go nie ma, wyrzuć stronę docelową z napisem "kliknij tutaj, przejdź do strony A, aby móc tu wrócić".

Dodatkowo spędź trochę czasu pracując nad bardziej niezawodną metodą uzyskiwania dostępu do "bezpiecznej" witryny.