Cyber Shelf
AvancéWeb SecurityBrowser InternalsAppSec

The Tangled Web

Un guide pour sécuriser les applications web modernes

5 / 5

Le livre le plus profond jamais écrit sur le modèle de sécurité étrange et accumulé du navigateur web.

Acheter sur Amazon

En tant qu'Associé Amazon, nous percevons une commission sur les achats éligibles. Le lien ci-dessus est sponsorisé.

Auteurs
Michal Zalewski
Publié
2011
Éditeur
No Starch Press
Pages
320
Langue
English

Table des matières

18 chapitres · 30 sections

Partie I : Anatomie du web

  1. 1

    Security in the World of Web Applications

  2. 2

    It Starts with a URL

    • Uniform Resource Locator structure
    • Reserved characters and percent-encoding
    • Common URL schemes
    • Resolution of relative URLs
  3. 3

    Hypertext Transfer Protocol

    • Basic syntax of HTTP traffic
    • HTTP request types
    • Server response codes
    • Keepalive sessions
    • Chunked data transfers
    • Caching behavior
    • HTTP cookie semantics
    • HTTP authentication
    • Protocol-level encryption and client certificates
  4. 4

    Hypertext Markup Language

    • Basic concepts behind HTML documents
    • Understanding HTML parser behavior
    • Entity encoding
    • HTTP/HTML integration semantics
    • Hyperlinking and content inclusion
  5. 5

    Cascading Style Sheets

  6. 6

    Browser-Side Scripts

    • Basic characteristics of JavaScript
    • Standard object hierarchy
    • Script character encoding
    • Code inclusion modes and nesting risks
    • The living dead: VBScript
  7. 7

    Non-HTML Document Types

  8. 8

    Content Rendering with Browser Plug-ins

Partie II : Fonctionnalités de sécurité du navigateur

  1. 9

    Content Isolation Logic

    • Same-origin policy for the DOM
    • Same-origin policy for XMLHttpRequest
    • Same-origin policy for Web Storage
    • Same-origin policy for cookies
    • Plug-in security rules
    • Coping with ambiguous or unexpected origins
    • Other uses of the origin concept
  2. 10

    Origin Inheritance

  3. 11

    Life Outside Same-Origin Rules

  4. 12

    Other Security Boundaries

  5. 13

    Content Recognition Mechanisms

  6. 14

    Dealing with Rogue Scripts

  7. 15

    Extrinsic Site Privileges

Partie III : Aperçu de l'avenir

  1. 16

    New and Upcoming Security Features

  2. 17

    Other Browser Mechanisms of Note

  3. 18

    Common Web Vulnerabilities

Prérequis

Vous devez déjà savoir ce que sont XSS, CSRF et la same-origin policy. Ce livre est pour la deuxième passe, pas la première.

À lire si

Quiconque construit, attaque ou audite des systèmes basés sur le navigateur et veut savoir pourquoi les règles sont ce qu'elles sont.

À éviter si

Débutants, Zalewski suppose que vous avez déjà touché la surface et voulez le substrat. Commencez plutôt par PortSwigger Academy.

Points clés

  • Le modèle de sécurité du web n'est pas conçu ; il est excavé.
  • Origines, schémas et limites de confiance sont les seules vraies abstractions ; tout le reste est une négociation poreuse.
  • Spécifications et réalité divergent constamment, et la divergence est là où vivent les bugs.

Notes

Se lit comme le rapport d'un anthropologue sur une culture dans laquelle il a vécu. Plus ancien que la moitié des fonctionnalités de plateforme qui comptent aujourd'hui (pas de service workers, COOP/COEP, Trusted Types), mais le matériel ancien est le sol d'où pousse tout le nouveau matériel. Le seul livre qui explique pourquoi le navigateur est ce qu'il est.

Que lire avant

Que lire avant The Tangled Web →

Que lire ensuite

Que lire après The Tangled Web →

Explorer des livres similaires

Alternatives à The Tangled Web →

Comment ils se comparent

Thématiques liées

Web SecurityBrowser InternalsAppSec