Какие соображения безопасности / проблемы должны быть обращены, когда использование CDN вело кодекс?

Работает ли это при запуске с интерактивной консоли Python?

import IPython; IPython.Shell

Я думаю, что безопасность их серверов намного лучше, чем безопасность вашего сервера, но количество атак на их серверы намного больше, чем количество атак на вас.

Если вы не используете CDN для всех образов, стилей и т.д., не используйте CDN вообще. Это просто один файл, поэтому это не будет иметь большого значения для вас и пользователей вашего сайта.

Вам следует ознакомиться с положениями и условиями, если таковые имеются, для бесплатных версий CDN. Однако для «крупной финансовой компании» это, вероятно, будет недостаточно хорошо.

Если вы хотите использовать CDN, как насчет заключения контракта с одним из них и просто использовать собственную версию «CDN hosted»? Полоса пропускания CDN на удивление доступна.

Я думаю, что безопасность их серверов намного лучше, чем безопасность вашего сервера Но количество атак на их серверах намного выше, чем количество нападений на ваш.

Если вы не используете CDN для всех изображений, стилей и так далее, поэтому не используйте CDNS вообще. Это просто один файл, поэтому он не будет иметь никакого большого значения для вас и пользователей вашего сайта.

Как насчет функции readdirectorychangeSW?

http://msdn.microsoft.com/en-us/library/aa365465 (vs.85) .aspx

Он хранит уведомления в буфере, чтобы вы не пропустить любые изменения (если не переполняется буфером)

Что касается невыгодных сетей CDN: это очень маловероятно, и процент наличия, скорее всего, будет выше вашей собственной сети. Вы можете утверждать, что хостинг его самостоятельно, по крайней мере, убедитесь, что единственное время простоя, когда ваши системы неисправен, так что поперечное сечение сбоев сети, вызывающие проблемы, самые маленькие.

Что касается безопасности: данные могут быть скомпрометированы , или канал передачи может быть перехвачен и вредоносным кодом, передаваемым в его месте через XSS и CSRF. Вероятность этого снова очень низкая на мой взгляд.

Существуют также проблемы с печеньем и озабоченность охраняемой связи (через HTTPS вместо http) в отношении предупреждающих сообщений и не совпадающих сертификатов (см. http://idunno.org/archive/2009/09/16/ Быстрые мысли-на-Microsoft-ajax-cdn.aspx ). Microsoft поддерживает SSL, хотя я не уверен в Yahoo и Google (они должны). Google не отслеживает файлы cookie, но они все равно будут видеть IPS, ударяя их сеть CDN и может использовать это для отслеживания, если они так выбирают.

Значение CDN будет иметь некоторую скорость через локальную кэширование сценария, если пользователь посетил какой-то другой сайт, используя CDN. Но для крупного учреждения я не вижу необходимости.

После того, как пользователь войдет в систему, я постараюсь избежать любых клиентских скриптов, за исключением тех случаев, когда это АБСОЛЮТНО необходимо. Вот рекомендации, которые я бы порекомендовал для работы в Интернете в отношении финансовых услуг онлайн:

1) Отправьте ВСЕ активы пользователю через HTTPS из того же самого домена. Хотя это медленнее и дороже для пропускной способности, это также более безопасно, потому что вы контролируете все активы от манипуляций напрямую. Под всеми активами я на самом деле подразумеваю все активы, даже включая образы, поскольку манипуляции с изображениями, содержащими текстовое содержимое, могут использоваться для отправки ложных инструкций перед попыткой фишинга. В этом отношении я бы не стал использовать CDN для хранения ваших активов, поскольку это не то место, которым вы владеете, так что у вас меньше контроля для отслеживания хранимых данных на предмет взлома.

2) НЕ используйте AJAX или что-либо еще с объектом XMLHttpRequest. Точкой асинхронной связи является сигнализация информации между точками за пределами перезагрузки страницы. Это отлично подходит для удобства использования, но полностью отменяет безопасность. Так как он выполняет на стороне клиента взломанный код может также быть использован, чтобы победить законное SSL-шифрование путем сигнализации информации от пользователя к недоверенным третьим лицам после того, как информация расшифровывается на стороне пользователя. При работе с покупками, PII или финансовыми данными ВСЕГДА убедитесь, что каждая информационная транзакция от пользователя заставляет его перезагрузить страницу или создать новую страницу.

3) Избегайте использования каких-либо клиентских сценариев. Эти средства вообще не используют ActiveX, Flash или даже Acrobat. 95% всех зарегистрированных уязвимостей безопасности относятся к скриптингу на клиентской стороне и 70% этих атак направлены на повреждение памяти процессингового программного обеспечения. Несмотря на то, что JavaScript обычно не известен переполнением буфера, я бы все же рекомендовал использовать его как можно реже для манипуляций только с флэш-памятью.

4) Никогда не передавайте анонимную функцию в качестве аргумента в функции или методе в JavaScript. Это не то, что обычно происходит, но в случае некоторых встроенных методов это может пропустить дыру в обрабатывающем программном обеспечении через JavaScript-интерпретатор, который затем может быть вектором атаки для вставки кода, необходимого для того, чтобы вызвать переполнение буфера.

5) Не используйте событие отправки для прикрепления выполнения скрипта к представлению данных формы. Нарушение исполняющего кода или добавление дополнительного вредоносного кода может создать точку, в которую можно включить функцию XMLHttpRequest, чтобы анонимно маячить данные формы недоверенным третьим лицам перед отправкой их в доверенный источник, даже если протокол передачи атрибута действия HTTPS.

6) До тех пор, пока вы придерживаетесь VALID XHTML, CSS и текста практически для всех возможных аспектов работы пользователя и общения с использованием только HTTPS, вы должны быть в основном в порядке.

Следует помнить, что банки и образовательные учреждения получают 40% от всех известных атак, поэтому вы ДОЛЖНЫ предположить, что ваша работа будет подвергнута атакам и компрометации. Средняя стоимость одной атаки в 2008 году составила $11.3 миллиона. Если бы банк мог атаковать вас за этот ущерб, потому что вы не учли всю глубину безопасности, как бы вы отреагировали? Планируйте соответствующим образом, чтобы обеспечить максимально возможную блокировку вашей работы.