VPN ma jistax jiddiżattiva CORS, ibiddel ir-risposta

Ibda billi tifred żewġ affarijiet li nbidlu fl-istess ħin: il-mogħdija tan-netwerk u l-infurzar tal-browser. VPN ibiddel l-indirizz tal-ħruġ; ma jbiddilx l-oriġini tal-paġna, li tinbena minn skema, host u port. Jekk it-talba issa tirnexxi, xi ħaġa fir-risposta nbidlet, jew it-talba nnifisha nbidlet. Li tiskopri liema waħda hija l-investigazzjoni kollha.

CORS huwa protokoll ta’ intestaturi li l-browser jinfurza, għalhekk xejn fuq il-mogħdija tan-netwerk ma jista’ jiddiżattivah.

L-oriġini mhix indirizz IP

Oriġini hija skema, host u port. Mhix l-indirizz li minnu joħorġu l-pakketti, u mhix l-IP li jara s-server. Għalhekk VPN jista’ jbiddel kull indirizz osservabbli u jħalli l-oriġini identika. Il-browser iqabbel l-Access-Control-Allow-Origin tar-risposta mal-oriġini tal-paġna, u l-indirizz tal-ħruġ qatt ma jidħol f’dik il-paragun.

Għalhekk estensjoni jew prokura li tidher li qed issewwi żball ta’ CORS tagħmel xi ħaġa oħra: tikteb mill-ġdid l-intestaturi, jew iddawwar it-talba b’tali mod li ma tibqax bejn oriġini differenti. L-ebda waħda mhi proprjetà tal-VPN.

X’jibgħat il-browser tassew

Għal talba bejn oriġini differenti li mhix sempliċi, il-browser l-ewwel jibgħat pre-verifika OPTIONS, li ġġorr il-metodu u l-intestaturi maħsuba. Is-server irid iwieġeb bil-permessi li jippermetti, u t-talba vera ssegwi biss jekk dak il-jieġ jissodisfa r-regoli. VPN ibiddel il-mogħdija li ġġorr iż-żewġ skambji u jista’ jbiddel x’iwiġbu s-servizzi intermedji. Ma jbiddilx is-sekwenza tal-oriġini jew il-ħtieġa tal-pre-verifika.

Klijent tal-linja tal-kmand normalment ma juri xejn minn dan. Jista’ ma jibgħatx l-intestatura Origin, spiss jaqbeż il-pre-verifika, u jista’ jġorr kredenzjali differenti. Korp mogħti lura lil curl jipprova li s-server wieġeb lil curl.

Sib ir-risposta li nbidlet

Qabbel ir-risposta reali fuq kull mogħdija, mhux biss il-kodiċi tal-istat. Ħares lejn l-intestaturi li jġorru l-permessi ta’ CORS, it-tip tal-kontenut, kwalunkwe ridirezzjoni, u jekk varjant ta’ WAF jew CDN ipproduċiex paġna differenti. Ċaħda reġjonali, ridirezzjoni tal-awtentikazzjoni jew paġna ta’ żball mingħajr l-intestatura tal-permess kollha jonqsu fil-browser filwaqt li jidhru bħal bug ta’ CORS. Dawk huma differenzi fil-mogħdija tal-kunsinna, u dawk huma li għandhom jiġu dokumentati.

Iġbor l-intestaturi tar-risposta miż-żewġ mogħdijiet u qabbelhom linja b’linja. Jekk l-unika differenza hija l-Access-Control-Allow-Origin nieqes fuq paġna ta’ żball waħda, sibt il-kawża.

Sejjes is-servizz, mhux l-infurzar

Meta s-servizz ikun tiegħek, iddikjara l-oriġini permessi u l-karatteristiċi tat-talba b’mod espliċitu, imbagħad aqra l-iżbalji li jipproduċu l-frontend u l-intermedjarji tiegħu. Jekk ma tagħmilx hekk, ibgħat lis-sid tas-servizz paragun imnaddaf. Qatt ma ddaħħal cookies, intestaturi tal-awtorizzazzjoni jew esportazzjonijiet tas-sessjoni f’dak ir-rapport, għax dawk huma l-kredenzjali li l-politika teżisti biex tipproteġihom.

Evita estensjonijiet tal-browser li jiddiżattivaw CORS. Ibiddlu l-konfini tas-sigurtà filwaqt li jaħbu d-differenza fir-risposta li kellha tiġi spjegata, u jħallu l-istess falliment għal kull utent ieħor.

Irreġistra ż-żewġ risposti, l-oriġini użata u l-mogħdija meħuda. Dik ir-rekord iddawwar xniegħa dwar VPN fi bug tas-servizz.