迪拜HITB会议：沙丘驰骋与浏览器安全趣谈

大家好，我是Billy Rios。最近我受邀在迪拜的Hack in the Box（HITB）安全会议上发言。在会议期间，我参与了两场不同的演讲，但本文将重点讨论我和Chris Evans共同主讲的“跨域泄露性”议题。Chris Evans是谷歌核心安全团队的安全负责人。有些人可能会觉得微软和谷歌员工同台演讲有些奇怪，但抛开我们T恤上的公司标志，看到 passionate 的工程师在安全问题上展开合作，实在令人耳目一新。

我们将演讲分为两个核心主题。首先，我们展示了过去一年中发现的一些浏览器漏洞。第二部分，我们聚焦于浏览器和Web应用场景，即用户加入不受信任的网络（通常称为“星巴克场景”）。在这种场景下，攻击者控制用户所使用的网络。随着互联网接入变得越来越普及，用户加入不受信任网络的情况也日益常见。许多企业为顾客提供Wi-Fi接入作为便利服务，甚至有些城市已经“上线”，在城市公园和商业中心为居民提供免费Wi-Fi接入——所有这些情况都属于“星巴克场景”。

虽然“星巴克场景”中的大多数威胁可以通过使用安全套接层（SSL）加密来缓解，但某些Web应用设计和浏览器行为可能会削弱SSL提供的保护。Chris和我讨论了一些这样的设计和行为，并提供了各种浏览器处理混合内容、非SSL页面写入安全cookie的能力以及浏览器插件如何使问题复杂化的示例。如果您对我们HITB会议上讨论的内容感兴趣，可以在这里找到相关材料。

在敌对环境中保护应用程序是困难的。它需要扎实地理解哪些可以信任（不多）和哪些不可信任。当今的应用程序在其威胁模型和设计评审中考虑“星巴克场景”至关重要。此类网络的管理员必须理解信任边界在哪里结束；否则，他们可能会发现用户在喝第一杯咖啡之前就丢失了数据！

会议结束后，是时候进行一些“沙丘驰骋”了。我们几个人登上空调丰田陆地巡洋舰，冲向迪拜的沙丘。在沙丘上疾驰、在沙漠中赛车、多次几乎翻车的同时怂恿司机冲过沙丘，真是乐趣无穷。迪拜是一座神奇的城市，充满了令人惊叹的景观和景点。HITB会议也非常有趣。感谢Dhillon K邀请我！

-Billy Rios