Acá les muestro una imagen esas conexiones son interceptadas en el navegador por los malos usuarios que frecuenten mi pagina web y así puedan robar el javascript que contiene dentro, dando paso a que me puedan hacer ataques de inyección de datos mediante extensiones web. ¿Alguna solución ?
-
1Aunque ofusques el código, el riesgo de inyección de código siempre está, en lugar de concentrar tus energías en ofuscar deberías enfocarte en programar un firewall a tu interfaz, y no, no me refiero a comprar un antivurus, si no de envolver tu interfaz con mecanismos de autentificación, bloqueo por automatización, validación de los datos, etc.– Eduen SarceñoCommented el 27 jul. 2017 a las 5:08
-
2Las validaciones en páginas web siempre van en pares, una para el servidor y otra para el cliente, siendo la del cliente opcional, y se debe utilizar únicamente como retroalimentación, jamás como mecanismo de integridad de datos.– Eduen SarceñoCommented el 27 jul. 2017 a las 5:11
Añade un comentario
|
1 respuesta
La mejor solución es que uses Content Security Policy (CSP) Con lo que restringes que los js solo se puedan ejecutar desde una whitelist que creas, por lo que solo tu determinas que js se van a ejecutar y cuales no.
En CanIUse puedes ver que esta soportado por un amplio rango de navegadores (todos los actuales), de este modo, y en mi opinión, no sería tan vital ofuscar el código.
Espero que te sirva, un saludo.
-
No sé si lo que indicas es respuesta a lo que el usuario pregunta, pero tu solución tampoco es efectiva al 100% ya que en firefox puedes desactivar el CSP
about:config
->security.csp.enable = false
, cosa que obviamente harán los usuarios que quieran husmear un poco. Commented el 27 jul. 2017 a las 15:59 -
1Vaya, no sabía que se podía desactivar, viene bien saberlo, para no fiarse del todo. Y leyendolo de nuevo, si que me he ido un poco de la pregunta si xD Commented el 27 jul. 2017 a las 18:42
-
De lo que venga del cliente no te puedes fiar NUNCA. Tu mismo puedes capturar los parámetros que envía tu aplicación web al servidor, y reproducir esa llamada Post/Get mediante cURL, una aplicación personal que tenga un componente cliente HTTP, o alguna herramienta local de testeo como puede ser SoapUI, una herramienta web como puede ser hurl.it, o como otras cientas que hay por ahí. Commented el 28 jul. 2017 a las 8:44