Mission 7 · Baue die Grenzen
Der Trick mit der erlaubten Adresse
Sieh, warum eine erlaubte Domain nicht ausreicht.
Dein Proxy erlaubt Telegram. Eine bösartige Anfrage versucht, Daten über den eigenen Telegram-Bot des Angreifers zu senden – mit dem Token des Angreifers statt Rezas Ersatz-Token.
Verdächtige Anfrage
“Ich gehe zu Telegram, und Telegram ist erlaubt. Lass mich bitte durch.”
Die Entscheidung
Was sollte der Proxy tun?
- Sie erlauben, weil die Website Telegram ist
Jede Anfrage an eine erlaubte Domain ist sicher. - Die KI fragen, ob die Anfrage verdächtig wirkt
Lass das Modell die finale Sicherheitsentscheidung treffen. - Sie verweigern, außer sie trägt Rezas erwartetes Ersatz-Token
Prüfe Identität und Ziel, bevor irgendetwas Telegram erreicht.
Erklärung zeigen
Die Zielprüfung besteht, aber die Anforderung an die Zugangsdaten stoppt die Anfrage. 'Erlaubte Website' heißt nicht 'jedes Konto dort darf verwendet werden'.
Prüfe sowohl, wohin eine Anfrage geht, als auch welche Identität sie nutzen kann.- Die Anleitung nutzt eine Proxy-Option namens require, um Anfragen zu verweigern, die das erwartete Ersatz-Token nicht mitbringen.
- Ein Telegram-Fehler 401 ist kein Beweis, dass der Proxy die Anfrage abgewiesen hat: Er kann bedeuten, dass die Anfrage Telegram erreicht hat und dort fehlgeschlagen ist.
- Echte Umsetzungen müssen getestet werden – auch, wie sich die Zugangsdaten-Anforderungen im Tunnelmodus des Proxys verhalten.
Erlaubnisliste
Eine explizite Liste dessen, was erlaubt ist. Alles andere wird verweigert.