0

Acá les muestro una imagenintroducir la descripción de la imagen aquí esas conexiones son interceptadas en el navegador por los malos usuarios que frecuenten mi pagina web y así puedan robar el javascript que contiene dentro, dando paso a que me puedan hacer ataques de inyección de datos mediante extensiones web. ¿Alguna solución ?

2
  • 1
    Aunque ofusques el código, el riesgo de inyección de código siempre está, en lugar de concentrar tus energías en ofuscar deberías enfocarte en programar un firewall a tu interfaz, y no, no me refiero a comprar un antivurus, si no de envolver tu interfaz con mecanismos de autentificación, bloqueo por automatización, validación de los datos, etc. Commented el 27 jul. 2017 a las 5:08
  • 2
    Las validaciones en páginas web siempre van en pares, una para el servidor y otra para el cliente, siendo la del cliente opcional, y se debe utilizar únicamente como retroalimentación, jamás como mecanismo de integridad de datos. Commented el 27 jul. 2017 a las 5:11

1 respuesta 1

0

La mejor solución es que uses Content Security Policy (CSP) Con lo que restringes que los js solo se puedan ejecutar desde una whitelist que creas, por lo que solo tu determinas que js se van a ejecutar y cuales no.

En CanIUse puedes ver que esta soportado por un amplio rango de navegadores (todos los actuales), de este modo, y en mi opinión, no sería tan vital ofuscar el código.

Espero que te sirva, un saludo.

3
  • No sé si lo que indicas es respuesta a lo que el usuario pregunta, pero tu solución tampoco es efectiva al 100% ya que en firefox puedes desactivar el CSP about:config -> security.csp.enable = false, cosa que obviamente harán los usuarios que quieran husmear un poco.
    – NetVicious
    Commented el 27 jul. 2017 a las 15:59
  • 1
    Vaya, no sabía que se podía desactivar, viene bien saberlo, para no fiarse del todo. Y leyendolo de nuevo, si que me he ido un poco de la pregunta si xD Commented el 27 jul. 2017 a las 18:42
  • De lo que venga del cliente no te puedes fiar NUNCA. Tu mismo puedes capturar los parámetros que envía tu aplicación web al servidor, y reproducir esa llamada Post/Get mediante cURL, una aplicación personal que tenga un componente cliente HTTP, o alguna herramienta local de testeo como puede ser SoapUI, una herramienta web como puede ser hurl.it, o como otras cientas que hay por ahí.
    – NetVicious
    Commented el 28 jul. 2017 a las 8:44

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.