Лакмусовая бумажка СЗКК Голосов: 1 Адрес блога: http://igrick.livejournal.com/ Добавлен: 2008-03-24 13:32:59 блограйдером Lurk

Разобрались...

Folks, мы проанализировали информацию о том, что ряд пользователей недавно якобы были случайным образом авторизованы под другими аккаунтами, а следовательно, якобы могли совершать от их имени какие-то действия, и разобрались в том, что это на самом деле было.

Произошло следующее — во время обновления конфигурации системы кэширования Varnish она на несколько минут перешла в режим кэширования авторизованных пользователей, чего делать не должна, и как следствие — стала выдавать закэшированные страницы от последних посетивших ее пользователей, считая их наиболее актуальными данными. Таким образом, в течение нескольких минут некоторые пользователи могли наблюдать эффект, как будто они авторизованы от чужого имени, но на самом деле это был всего лишь слепок страницы от последнего посетителя. На безопасность это никак не повлияло, так как никаких действий от их имени совершать было невозможно, равно как и переход на следующую страницу в течение этих нескольких минут выдал бы вам, вероятнее всего, совершенно другую закэшированную страницу.

Русскоязычная аудитория этого практически не заметила, так как изменения происходили ночью. Однако спасибо тем, кто увидел и обратил на это внимание, что дало нам шанс быстрее разобраться в причинах.

Мы приносим извинения за причиненные неудобства.