Varování při vyhledávání na Seznamu v Mozzile



Ahoj. Pokaždé když začnu vyhledávat na Seznamu, musím, ještě než se mi zobrazí výsledky odkliknout security warning. Konkréttně mi vyskočí okno s textem:Although this page is encrypted, the information you have entered is to be sent over an unencrypted connection and could easily be read by a third party.Are you sure you want to continue sending this information?Nevíte někdo co s tím, prosím?
hláška je v pořádku, protože jsi na <https://www.seznam.cz> a výsledek hledání se ti zobrazí na http://pokud ti hláška vadí, stačí vyhledávat na <http://www.seznam.cz>
<p>zkuste to zjistit:</p><ol> <li>klikněte na kartu externí data</li> <li>mělo by být upozornění zabezpečení, které uvádí, že určitý obsah databáze byl zakázán.</li> <li>klikněte na tlačítko možnosti</li> <li>vyberte možnost povolit tento obsah a klepněte na tlačítko ok</li> </ol> <p>mám sklon souhlasit se svým šéfem :) možná, že skutečná aplikace má jiný pocit, ale podle vzhledu makety se nezdá být velmi elegantní.</p><p>co se stane, když po výběru podkategorie změním kategorii, resetuje se tato podkategorie? a pokud vyberu několik kategorií, obsahuje rozbalovací nabídka podkategorie podkategorie všech kategorií, které jsem vybral?</p><p>výběr několika kategorií současně vyžaduje hodně práce, protože rozevírací seznam se po kliknutí zavře a je třeba jej znovu otevřít po každé přidané položce a znovu ji naskenovat, abyste našli další potřebnou položku.</p><p>vaše odpověď zní jako rozevírací/vyskakovací strom se zaškrtávacími políčky.</p> <p>to záleží na tom, zda máte obavy z odsouzení, nebo vyřizování pravděpodobné příčiny (v usa).</p><p>předpokládejme, že jste doma. spustíte vpn a připojíte se k poskytovateli vpn mimo lokalitu. pokud sleduji odchozí provoz (z vašeho domu), vím, že jste se právě připojili k určité ip adrese a že ip adresa je poskytovatel vpn. všechno uvnitř užitečného zatížení paketu je šifrováno.</p><p>poté se rozhodnete, když budete doma, zkontrolovat svůj e-mail. stává se, že sleduji odchozí provoz od poskytovatele vpn (který není šifrovaný). zaznamenávám to vše pomocí odfrknutí a spustím wireshark proti výstupu. vidím spojení s vaší e-mailovou adresou a napsaný e-mail. to může být chráněno ssl, pokud je to webmail. pokud se jedná o běžný e-mail, je to pravděpodobně prostý text. pokud to není prostý text, mohu se pokusit zachytit ho v přijímači. e-mail nemá žádný právní význam (tj. nepoužíváte jej k plánování něčeho nezákonného). všiml jsem si však skutečnosti, že zaměňujete použití jejich, tam a tam jsou. všimnu si také několika idiomů, které chcete použít.</p><p>během sledování odchozího provozu vidím, že váš účet psal několik e-mailů. zaznamenávám vzory překlepů a další postavy řeči. sbírám je po dobu jednoho měsíce nebo dvou.</p><p>potom jsem vložil položky, které si všimnu, do wireshark. přidávám několik věcí, o kterých je vám známo. pokaždé, když dojde k překlepu nebo použití idiomu (který používáte) najdete v obsahu jakéhokoli paketu, který vychází z vpn služby, kterou používáte, vidím to.</p><p>za další měsíc nebo dva mám spoustu datových bodů. některé jsou weby, na které jste šli, jiné ne. první věc, kterou udělám, je odstranění všech datových bodů, které opustily poskytovatele služeb vpn, když jste nebyli online (tj. neviděl jsem vás online z domova, nezapomeňte, že jsem začal sledováním tohoto připojení).</p><p>pak se podívám na zbývající provoz a uvidím, jestli mám nějaké body clusteru. spousta opakujících se témat. stejný předmět přes over. porovnávám to s vaším nešifrovaným provozem a vaším e-mailem.</p><p>neaplikoval jsem dostatek filtrů, abych tě izoloval od hluku (lidé, kteří používají stejné idiomy/pravopisné chyby jako ty), ale měl bych dobrý důvod pro pravděpodobnou příčinu. pokud mám dostatek referenčních bodů, je to jako otisk prstu.</p><p>v podstatě aplikuji bayesovskou analýzu na korpus práce, abych uvedl něco o pravděpodobnosti, že věřím, že příkladem bude člen souboru vytvořeného mým podezřelým. sbírka děl, která bych srovnávala, pochází z jakékoli práce, za kterou podezřelý veřejně uznal, že za ni odpovídá. tato analýza je dobře známa (a existuje i celá statistika stackexchange webu).</p><p>nechám tě odpovědět, s čím bych v tuto chvíli přišel?</p> Můžete si přečíst více informací o celé ověřování formulářů, členství ans rolí v [ASP .NET Zabezpečení](http://www.asp.net/learn/security/) Ukazuje se, že problém nesouvisí s podpisem vůbec - je to proto, že soubor XML je sestaven. Chcete-li se podívat na obsah tohoto souboru je nutné použít `aapt`nástroj. <p><em> aktualizovat: chrome 58+ skryl tyto a další ladicí zprávy ve výchozím nastavení. chcete-li je zobrazit, klepněte na šipku vedle položky „info&ldquo; a vyberte položku „verbose&ldquo;. </em></p><p><em> aktualizace 2: chrome 57 je ve výchozím nastavení zapnut. chcete-li je znovu zapnout, musíte povolit filtry a zrušit zaškrtnutí políčka „skrýt porušení&ldquo;. </em></p><blockquote> <p>najednou se objeví, když se do projektu zapojí někdo jiný</p> </blockquote><p>myslím, že je to více pravděpodobné, že jste aktualizovali na chrome 56. toto varování je (imo) báječná nová funkce - prosím, vypněte ji pouze v případě, že jste zoufalí a váš hodnotitel vás odtrhne. základní problémy jsou v jiných prohlížečích, ale prohlížeče vám neříkají, že je problém. vstupenka chromium je zde, ale na ní není žádná zajímavá diskuse: <a href="https://bugs.chromium.org/p/chromium/issues/detail?id=662497">https://bugs.chromium.org/p/chromium/issues/detail?id=662497</a> </p><p>tyto zprávy jsou varování namísto chyb, protože to opravdu nebude způsobovat velké problémy. to může způsobit upuštění rámců nebo jinak způsobit méně hladký zážitek.</p><p>stojí za to prozkoumat a upevnit, aby se zvýšila kvalita vaší aplikace. způsob, jak toho dosáhnout, je věnovat pozornost okolnostem, ve kterých se zprávy zobrazují, a provádět testování výkonu, aby se zúžit, kde se problém vyskytuje. nejjednodušším způsobem, jak spustit testování výkonu, je vložit nějaký kód takto:</p><pre><code>function somemethodithinkmightbeslow() { const starttime = performance.now(); // do the normal stuff for this function const duration = performance.now() - starttime; console.log(`somemethodithinkmightbeslow took ${duration}ms`); } </code></pre><p>chcete-li být pokročilejší, můžete také použít profiler chrome: <a href="https://developers.google.com/web/tools/chrome-devtools/rendering-tools/">https://developers.google.com/web/tools/chrome-devtools/rendering-tools/</a> </p><p>nebo použijte knihovnu benchmarking, jako je tato: <a href="https://benchmarkjs.com/">https://benchmarkjs.com/</a> </p><p>jakmile najdete nějaký kód, který trvá dlouhou dobu (50 ms je práh chrome), máte několik možností:</p><ol> <li>vystřihněte některé z těchto úkolů, které mohou být zbytečné</li> <li>zjistěte, jak dělat stejný úkol rychleji</li> <li>rozdělte kód do několika asynchronních kroků</li> </ol><p>(1) a (2) může být obtížné nebo nemožné. ale někdy je to opravdu snadné a měly by to být vaše první pokusy. v případě potřeby by mělo být vždy možné (3). k tomu budete používat něco jako</p><pre><code>settimeout(functiontorunverysoonbutnotnow); </code></pre><p>nebo</p><pre><code>// this one is not available natively in ie, but there are polyfills available. promise.resolve().then(functiontorunverysoonbutnotnow); </code></pre><p>více o asynchronní povaze javascriptu si můžete přečíst zde:</p><p> <a href="http://blog.carbonfive.com/2013/10/27/the-javascript-event-loop-explained/">http://blog.carbonfive.com/2013/10/27/the-javascript-event-loop-explained/</a> </p> To se prostě stává, zejména, děláte-li Duolingo v mobilní aplikaci. Už bylo probíráno mnohokrát. Je třeba mít v obchodu zakoupené zmrazení řady (za lingoty), když jej spotřebujete, zakoupit znovu. Osobně doporučuji web ve Chrome, tam se to opravdu stane zřídka. Ale hlavně, řada není tak klíčová, zejména, když se dokážete učit každý den i bez ní. <p><strong> [~ # ~] aktualizováno [~ # ~] </strong></p><p>zkontroloval bych následující:</p><ol> <li> <p>protokoly. pokud máte root přístup, měli byste zkontrolovat věci jako <code>history</code>, které vám poskytnou historii příkazů a protokolované soubory v <code>/var/logs</code>.</p> </li> <li> <p>základní hodnota. pokud máte základní linii jako hash souborů pro práci s aplikačními a systémovými soubory, pomůže vám to hodně. zálohy můžete také použít k porovnání předchozího stavu. pokud používáte zálohu k porovnání souborů, použijte, pokud je to možné, o něco starší. stránka mohla být před nějakou dobou ohrožena a teprve nyní je přesměrování aktivováno.</p> </li> <li> <p>zkontrolujte jakékoli položky. soubory nemusí být na vašem serveru. mohou to být skripty, jako jsou značky typu <code>&lt;script src=”http://baddomain.com/s.js” /&gt;</code> nebo <code>iframe</code>. nevylučujte také obrázky, soubory pdf flash (swf), video soubory. je docela běžným trikem vkládání odkazů do souborů jiného typu obsahu. navrhuji, abyste je zkontrolovali ručně, zejména na začátku a na konci souboru. soubor může být kompletně odkazem/html/javascript nebo se může jednat o legitimní obrazový soubor s koncem odkazu na konci souboru.</p> </li> <li> <p>zkontrolujte neobvyklá data souborů, velikosti a oprávnění, např. 777.</p> </li> <li> <p>zkontrolujte neobvyklé úlohy u cron. někdo ohrožující systém často opustí zadní dveře, aby se sem dostal znovu a znovu. cron je velmi populární způsob, jak toho dosáhnout, pokud se jim podaří dostat se tak daleko.</p> </li> <li> <p>zkontrolujte, zda neexistují soubory. pravděpodobně nebudete mít přístup k protokolům, ale jejich absence je stejně známkou, že někdo po sobě vyčistil.</p> </li> <li> <p>použijte vyhledávače. není divu, že vyhledávače dokáží najít vše. použijte direktivy jako <code>site:</code> <code>site:yoursitehere.com baddomain.com</code> zjistěte, zda se vám nepodaří získat nějaké zásahy.</p> </li> <li> <p>často bude odkaz nebo přesměrování zamlženo, takže by měl být pečlivě analyzován dlouhý javascriptový kód s proměnnými s jedním písmenem.</p> </li> <li> <p>zachyťte pakety pomocí nástroje jako wireshark nebo tcpdump ze zabezpečené pracovní stanice na web. uložte jej do souboru a vyhledejte v něm části adresy url.</p> </li> <li> <p>zkontrolujte záznamy databáze, které mohou být dotazovány nebo aktualizovány. odkaz mohl být vložen do databáze, nikoli do php.</p> </li> <li> <p>nevylučujte pracovní stanici klienta. v případě potřeby použijte bezplatný online antivirový program. zkontrolujte také <code>nslookup</code> a podívejte se, k čemu se to vyřeší. zkontrolujte rozšíření prohlížeče, vymažte mezipaměť a zkontrolujte soubory <code>hosts</code>.</p> </li> </ol><p>chcete-li to vyčistit (pokud jste ohroženi), musíte se vrátit zpět na holý kov a znovu jej nainstalovat. je to bolestivé, ale je to jediný způsob, jak se ujistit, že máte všechno.</p><p>chcete-li tomu zabránit v budoucnu, měli byste dělat následující (i když již možná některé z nich děláte):</p><ol> <li> <p>vytvářejte servery, včetně používání doporučení výrobce o bezpečných konfiguracích, pomocí aktuálního softwaru. používejte přísnou kontrolu zabezpečení, jako jsou oprávnění, zásady týkající se hesel. viz také <a href="https://security.stackexchange.com/questions/7141/folder-and-file-permission-shared-host-advice/7171#7171">sdílená oprávnění ke složkám a souborům doporučení hostitele</a> .</p> </li> <li> <p>implementujte postupy kontroly kvality, jako je testování v prostředí s nízkým zabezpečením, kontrola kódu a testování.</p> </li> <li> <p>nechte zranitelnost své webové aplikace/webu ověřit alespoň jednou profesionálním certifikovaným testerem. podívejte se na testery certifikované evropskou radou, iso 27001 a pci. <a href="http://www.eccouncil.org/certification/licensed\_penetration\_tester.aspx">http://www.eccouncil.org/certification/licensed\_penetration\_tester.aspx</a> </p> </li> <li> <p>podívejte se na stránky owasp www.owasp.org a <a href="http://phpsec.org/projects/guide/2.html">http://phpsec.org/projects/guide/2.html</a> , kde najdete zdroje zabezpečení webových aplikací.</p> </li> <li> <p>použijte nástroje systému prevence narušení (ips). v závislosti na poskytovateli hostingu však můžete mít omezení ohledně toho, co můžete použít. host založené ips nástroje by měly být v pořádku, pokud máte vyhrazený virtuální počítač.</p> </li> </ol><p>doufám, že to pomůže. jinak byste mohli poskytnout více informací o systémech, které používáte?</p> Za prvé, ujistěte se, že Google není zakázáno z těchto stránek pomocí `robots.txt`apod Také zkontrolujte, zda tyto adresy URL jsou *správné* . :)


Za druhé, Google není jen vzít si Sitemap v nominální hodnotě. Využívá i další faktory, jako jsou příchozí odkazy, atd, aby se zjistilo, zda se *chce* procházet všechny stránky v souboru Sitemap. Sitemap bude pak slouží především jako náznak více než cokoli jiného (to pomáhá Google vědět, kdy se stránky mnohem rychleji aktualizovány, například). Získejte vysoce kvalitní, relevantní a užitečné odkazy (příchozí a odchozí) a vaše stránky by měly začít dostat indexovány. <p>samozřejmostí je autentizace klienta. může být použit ke zlepšení zabezpečení v kombinaci s přístupovým heslem nebo čipovou kartou nebo jako pohodlná náhrada za zadání hesla.</p><p>zajímavý návrh v tomto kontextu je <a href="http://webid.info/">webid single sign on protocol</a> .</p><p>hlavní problém s klientskými certifikáty je v tom, že je vázán na prohlížeč. takže pokud jste na jiném počítači, nemáte k nim přístup, pokud jste neučinili preventivní opatření.</p>