Respuestas personalizadas servidas a otros

5 tareas · 40 min · Principiante

Cuando una respuesta personalizada entra en una caché compartida, el daño no es teórico: la siguiente persona que pida esa dirección recibe los datos de quien pasó antes. Varejón te entrega el controlador de «Mis compras», el registro del borde de esa mañana, cuatro tiquetes de soporte y las notas de versión. La consulta filtra bien por persona y aun así tres personas vieron compras ajenas. Se lee el camino completo, no solo el código.

0 de 5 · 0%

Objetivo de la sala

El controlador hace su trabajo: consulta solo las compras de quien inició sesión. El fallo no está en la consulta, está en lo que ocurre con la respuesta después de salir de la aplicación. Si esa respuesta llega a una capa que la guarda bajo una clave que no distingue a nadie, la autorización que se comprobó en el servidor se queda fuera de la ecuación: la segunda persona nunca llega a pedirle nada a la aplicación.

Es la misma familia de debilidades que recoge MITRE como uso de una caché que contiene información sensible (CWE-524), bajo la idea más general de exponer un recurso a un ámbito que no le corresponde (CWE-668). Lo que hace falta entender es que el control que faltó no vive en el código de la consulta.

Responde para continuar

La consulta filtra correctamente por la persona de la sesión. ¿Por qué eso no evita que otra vea sus compras?

Porque la segunda petición no llega a la aplicación: la resuelve una capa que ya tenía la respuesta guardada Porque la consulta se ejecuta antes de que el framework termine de cargar la sesión del visitante y su rol en el portal Porque el identificador de la persona viaja en una cookie que la aplicación no vuelve a leer

Ver pista de ayuda

Pregúntate quién respondió a la segunda petición.

Abre el laboratorio y lee registro-borde.txt. Cada línea trae la cuenta de la sesión que pidió la página y la cuenta cuyos datos iban dentro de la respuesta. Cuando las dos columnas no coinciden, alguien vio lo que no era suyo. Empieza por el primer bloque de la mañana.

Responde para continuar

Entre las 10:12 y las 10:15, ¿de qué cuenta eran las compras que acabaron en pantallas ajenas? Escríbela tal como aparece en el registro.

Ver pista de ayuda

Es la cuenta que provocó el primer MISS de la mañana: su respuesta fue la que se guardó.

El informe necesita un número, y el número sale del registro. Cuenta las cuentas distintas que recibieron una respuesta cuyos datos eran de otra persona. Ojo con dos detalles: una misma cuenta puede aparecer varias veces, y hay dos bloques en la mañana, no uno.

Responde para continuar

¿Cuántas cuentas distintas recibieron una respuesta con las compras de otra persona?

Ver pista de ayuda

Cuenta cuentas, no líneas, y revisa también lo que pasó después de las 10:19.

Las notas de versión lo cuentan sin querer: el cambio CP-402 sacó «Mis compras» de la lista de rutas personales del middleware para que el borde la guardara y la pantalla cargara más rápido. El borde no inventó nada: hizo lo que la respuesta le autorizó a hacer, bajo la regla que cubre esa área y con un tiempo de vida de cuatro minutos.

Responde para continuar

¿Qué autorizó al borde a guardar la página de compras y entregarla a otras personas?

Que la respuesta dejara de declararse personal y pasara a llevar un tiempo de vida compartido Que la página se pintara en menos de 120 ms, por debajo del umbral de la regla Que el registro del borde incluyera una cabecera interna de diagnóstico con el código de cliente de cada respuesta

Ver pista de ayuda

Busca en las notas de versión qué cambió el 6 de noviembre por la tarde.

Una salida frecuente es declarar que la respuesta varía según la cookie de sesión y dejarla compartible. Suena razonable y es frágil: cada sesión distinta produce una entrada nueva, así que el rendimiento que se buscaba desaparece, y basta con que una capa normalice o descarte esa cookie para que todo vuelva a mezclarse. Para contenido que depende de quién pregunta, la decisión correcta es no entregárselo a una caché compartida.

Responde para continuar

Soporte propone declarar que la respuesta varía según la cookie de sesión y dejar el tiempo de vida compartido. ¿Qué objeción es la correcta?

Que el contenido depende de quién pregunta y por eso no debe quedar al alcance de una caché compartida Que esa declaración solo la entienden los navegadores y cualquier capa intermedia del camino la ignora siempre por completo Que la cookie de sesión cambia en cada petición y la caché se llenaría de entradas inservibles

Ver pista de ayuda

Separa lo que es un problema de eficiencia de lo que es un problema de a quién se le entrega.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Dónde se rompe algo que estaba bien

2 De quién eran los datos Lab

3 Medir el alcance Lab

4 Por qué entró en la caché Lab

5 Lo que no basta Lab

Whoami-Labs Pro utiliza cookies