安全是有分量的

云防护_免备案服务_超高防御

2021-10-14 09:06栏目:高防

云防护_免备案服务_超高防御

2021年2月17日星期三Dan

长期以来的传统观点是,如果您的网站使用第三方库,如jQuery或Bootstrap,您可以使用他们的高性能CDN进行加载。例如,jQuery有

code.jQuery.com

,您可以从中在您的网站上包含任何版本的jQuery。例如:

这是为了让您能够从他们的超高速全局CDN加载jQuery库,如果是其他站点的话您的客户也访问了他们的站点上的包含jQuery的内容,同样的,那么文件已经在他们的站点中了浏览器缓存。如果发生这种情况,可以从浏览器缓存中获取文件,您的网站速度会更快!双赢。

在实践中,第三方ddos防御,网站访问者很少看到任何好处。首先,浏览器有一个缺点要打开到第三方CDN的单独连接,这可能会抵消CDN提供的任何延迟好处。第二,有通常使用的主要图书馆版本如此之多,以至于两个网站使用同一版本的可能性,从CDN加载的都很小。

Chrome和Firefox中的缓存分区

直到最近,Chrome和Firefox对用户访问的所有网站都有一个共享的浏览器缓存。这意味着如果您访问了一个网站并加载了资源:

https://www.somesite.com/foo.js

然后您访问了第二个网站,它也包含了相同的资源,然后该资源将从共享缓存,WEB服务器防御ddos攻击,而不是第二次从internet下载。这些资源设置的cookie也将被共享。

从Firefox v85和Chrome v86开始,浏览器缓存将被分区,这意味着包含相同的资源在两个网站上,必须从互联网上下载两次并分别缓存。

他们为什么这样做?

主要原因是隐私。浏览器中的共享缓存被不道德的运营商使用在未经用户同意的情况下跨不同网站跟踪用户。他们通过利用缓存来实现这一点侧通道攻击。

什么是侧通道攻击?

在计算机系统中,一个程序或算法可能没有任何错误,阿里云ecs有ddos防御吗,并且是完全安全的,但它与计算机的交互可能会离开攻击者可以利用的信息。间谍世界的一个很好的类比是使用激光束测量振动在一块玻璃上,可以听到房间里正在进行的对话,否则你就听不到。

侧频道攻击可以是巧妙的,使用的技术包括:

观察功耗/电磁辐射;定时数据在存储器中的移动和移出存储器;cpu执行指令所需时间的计时。测量硬盘发出的声音。

关于浏览器缓存,一个示例攻击是用户打开恶意网站。这个恶意网站然后从另一个站点请求资源(如图像)。通过计时浏览器加载该图像所需的时间它可以确定它是从浏览器缓存中获取的,还是必须下载它是通过互联网传播的。据谷歌称,这项技术可用于:

检测用户是否访问过特定网站。通过检查特定用户使用的"so search result"图像,检测用户的搜索结果中是否存在任意字符串地点跨使用缓存的站点跟踪用户。

Github用户terjanq发布了缓存侧通道攻击可以从谷歌服务中收集各种信息,他说,一个普通的谷歌用户可以拥有以下信息信息泄露:

搜索历史记录观看的视频访问的确切URL活动的时间框架私人藏书阅读/购买/收藏/收藏的书籍等。私人电子邮件代币/信用卡号码/电话号码/等。联系人(包括电子邮件地址、姓名、电话号码)书签网站还有更多。

也许在Chrome中只实现缓存分区比修补这些漏洞更容易…

你应该做什么

谷歌估计浏览器缓存的更改影响最小,在浏览器中只有0.3%的差异FCP(第一种满足要求的油漆)。但是,由于在第三方CDN上托管不再有任何好处,华为DDOS防御做的最好,您应该:

在您自己的域上托管所有第三方库,以消除浏览器建立第二个连接的需要。利用现代CDN,如Peakhour,它在其全球CDN上透明地缓存和服务您的网站资产。

结论

确实有一些第三方资源在数百万网站上共享。最普遍的存在谷歌字体。在新的缓存分区实现下,必须为每个站点下载这些字体不幸的是,这将对站点速度和数据使用产生一些影响。然而,云盾网安DDoS云防御,它也有副作用提高谷歌追踪用户的能力,因为现在用户必须下载他们访问的每个网站的字体从2013年起,Safari就开始对HTTP缓存进行分区,使微软EDGE成为最后一个拥有全局HTTP缓存的主流浏览器,然而,未来的版本将基于Chrome(Chrome的开源版本),因此默认情况下,逻辑上将获得缓存分区。