// Comparaison
Black Hat GraphQL vs The Tangled Web : lequel lire ?
Deux livres de cybersécurité sur Web Security, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.
Aleks et Farhi sur attaquer GraphQL spécifiquement : abus d'introspection, batching, attaques profondeur et complexité, défauts d'auth, et les différences avec REST qui font des pentests GraphQL leur propre discipline.
Le livre le plus profond jamais écrit sur le modèle de sécurité étrange et accumulé du navigateur web.
À lire si
À éviter si
Points clés
- L'introspection désactivée n'est pas un contrôle de sécurité ; le livre explique comment énumérer les schémas sans elle et pourquoi cela importe.
- Les attaques batching et aliasing permettent à une requête HTTP de faire plein de choses ; les défenses rate-limit classiques échouent à moins d'être GraphQL-aware.
- Les attaques profondeur et complexité sont l'équivalent GraphQL du regex DoS, généralement possibles, souvent oubliées, parfois catastrophiques.
- Le modèle de sécurité du web n'est pas conçu ; il est excavé.
- Origines, schémas et limites de confiance sont les seules vraies abstractions ; tout le reste est une négociation poreuse.
- Spécifications et réalité divergent constamment, et la divergence est là où vivent les bugs.
Comment ils se comparent
Nous notons The Tangled Web plus haut (5/5 contre 4/5 pour Black Hat GraphQL). Pour la plupart des lecteurs, The Tangled Web est le choix principal et Black Hat GraphQL un complément utile.
Black Hat GraphQL vise le niveau intermédiaire. The Tangled Web vise le niveau avancé. Lisez le plus accessible d'abord si la thématique ne vous est pas familière.
Black Hat GraphQL et The Tangled Web couvrent tous les deux Web Security, AppSec : les lire dans l'ordre renforce les mêmes notions sous des angles différents.