एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 11: उर / वेब प्रोग्रामिंग भाषा, भाग 1

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषय में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2
व्याख्यान 6: "अवसर" भाग 1 / भाग 2 / भाग 3
व्याख्यान 7: "मूल ग्राहक सैंडबॉक्स" भाग 1 / भाग 2 / भाग 3
व्याख्यान 8: "नेटवर्क सुरक्षा मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 9: "वेब अनुप्रयोग सुरक्षा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 10: "प्रतीकात्मक निष्पादन" भाग 1 / भाग 2 / भाग 3
व्याख्यान 11: "उर / वेब प्रोग्रामिंग भाषा" भाग 1 / भाग 2 / भाग 3

निकोलाई ज़ेल्डोविच: चलो शुरू हो जाओ दोस्तों! इसलिए, आज हम सुरक्षित वेब एप्लिकेशन बनाने के लिए पूरी तरह से अलग और मौलिक दृष्टिकोण के बारे में बात करेंगे। यह उर / वेब नामक प्रणाली के बारे में है। अब हमारे अतिथि एडम चिपला, जो इस प्रणाली के लेखक हैं, एमआईटी में प्रोफेसर हैं, वे आपको उस प्रणाली के बारे में बताएंगे जो उसने बनाई थी।



एडम छीपाला: मैं जल्द से जल्द प्रदर्शन के लिए जाना चाहता हूं। लेकिन इससे पहले मैं इस प्रणाली की सामग्री को समझाने के लिए कुछ स्लाइड दिखाऊंगा। आपको शायद पहले से ही इस बारे में आज के व्याख्यान नोट्स से कुछ विचार मिले।

तो उर / वेब क्या है? यह हमेशा यह समझाने में मददगार होता है कि विषय का शीर्षक क्या है। यूआर / वेब मुख्य रूप से वेब अनुप्रयोगों के निर्माण के लिए एक प्रोग्रामिंग भाषा है। यह वही है जो वेब के नाम पर है। यह एक तरह का फुल-स्टैक सिस्टम है जो वेब एप्लिकेशन बनाने के लिए आपकी जरूरत का हर काम करता है। उर का अर्थ है नई सार्वभौमिक प्रोग्रामिंग भाषा जो इन वेब फ़ंक्शंस को लागू करने के लिए उपयोग की जाती है।

उर / वेब का संपूर्ण बिंदु यह है कि वेब एप्लिकेशन बनाने के लिए एक सामान्य-प्रयोजन प्रोग्रामिंग भाषा, लाइब्रेरी और पारंपरिक फ्रेमवर्क का उपयोग करने के बजाय, यह सब पहले से ही एक कस्टम यूआर / वेब प्रोग्रामिंग भाषा में एकीकृत है। यह एक ऐसी भाषा है जिसमें रनटाइम में व्याख्या के बजाय संकलन शामिल है। और कंपाइलर, एक अर्थ में, समझता है कि एक वेब एप्लिकेशन को क्या करना चाहिए। यह नियमित जावा कंपाइलर के विपरीत आपके द्वारा की जा रही त्रुटियों को इंगित करेगा, जो यह नहीं समझता कि आपके पास कहाँ त्रुटियाँ हैं।

इस भाषा को विकसित करते समय मैंने तीन मुख्य सिद्धांतों का उपयोग करने की कोशिश की: प्रोग्रामिंग दक्षता, सुरक्षा और प्रदर्शन, विशेष रूप से सर्वर की ओर, स्केलिंग के लिए। इस संदर्भ में, दूसरा सबसे अधिक प्रासंगिक है।

ज्यादातर मामलों में, आपके एप्लिकेशन के उपयोगकर्ता क्लाइंट साइड पर प्रदर्शन के साथ छोटी समस्याओं को नोटिस नहीं करेंगे, लेकिन सर्वर साइड पर एक छोटी सी समस्या भी आपको आवश्यकता से अधिक सर्वर खरीद सकती है।



फिलहाल, उर / वेब के पहले से ही कई उपयोगकर्ता हैं, हालांकि, उनमें से बहुत से ऐसे नहीं हैं जो अन्य प्रोग्रामिंग भाषाओं का उपयोग करते हैं। लेकिन कम से कम यह एकमात्र व्यावसायिक वेब एप्लिकेशन है जो आरएसएस रीडर है और जो टिप्पणियों को प्रदर्शित करने जैसी विदेशी सुविधाओं का समर्थन करता है। एक गैर-देशी अंग्रेजी वक्ता द्वारा आविष्कार किया गया एक URL भी है जो अब इस तरह के नाम का पछतावा करता है। इसे बेज़क्यूक्स रीडर कहा जाता है, जो हैकर समुदाय के सामरिक कौशल का एक संयोजन है। इस एप्लिकेशन के पास पहले से ही कई हजार सशुल्क उपयोगकर्ता हैं। और ऐसा लगता है कि सीएसएस के साथ जो किया गया है, उसके मुकाबले यह बहुत अच्छा है। यह इस बात का प्रमाण है कि यह यूआर / वेब का उपयोग करके किया जा सकता है।

किसी भी समय प्रश्नों से मुझे मुक्त करने के लिए स्वतंत्र महसूस करें, हालाँकि मुझे अभी तक यह समझ नहीं आया है कि प्रश्नों का क्या कारण हो सकता है। इस प्रकार, उर / वेब बिक्री की मुख्य सफलता यह है कि इसमें एक उच्च-स्तरीय प्रोग्रामिंग मॉडल है, जो कि Django से बहुत अलग है, जिसके बारे में आप पिछले व्याख्यानों से जानते हैं। और उसके पास एक अच्छी सुरक्षा कहानी है।

कुछ कार्य जो आप सुरक्षा के लिए करना चाहते हैं, वे पहले से ही सिस्टम में एकीकृत हैं, इसलिए आपको यह सुनिश्चित करने के लिए कड़ी मेहनत करने की ज़रूरत नहीं है कि आपका कार्यक्रम सुरक्षित है। मैं निकट भविष्य में इसके बारे में आपको बताऊंगा।

इसके अलावा, यह भाषा अधिक लोकप्रिय वेब एप्लिकेशन निर्माण टूल की तुलना में भी उच्च सर्वर-साइड प्रदर्शन प्रदान करती है, मुझे लगता है कि आपने पहले ही इसके बारे में सुना है। चेतावनी यह है कि हमें उर / वेब का उपयोग करने से पहले संभवतः कार्यात्मक प्रोग्रामिंग भाषाओं के लिए अधिक विचार सीखने की आवश्यकता होगी, जैसे हास्केल।

मैंने इस पाठ के लिए प्रश्नों और उत्तरों को देखा, और लगभग पाँचवें छात्रों ने प्रोग्रामिंग के कार्यात्मक भागों के बारे में शिकायत की जिन्हें पूरा करना मुश्किल था। मैं माफी मांगता हूं, लेकिन कार्यात्मक प्रोग्रामिंग की दुनिया में बहुत सारे अच्छे विचार हैं कि उस पल से शुरू नहीं करना मुश्किल होगा, धीरे-धीरे इसमें और अधिक जटिल चीजें जोड़ना। लेकिन मैं उस सामग्री की सख्त जानकारी की आवश्यकता नहीं करने की कोशिश करूंगा जो मैं आज बात करूंगा।

इस प्रकार, यह प्रोग्रामिंग मॉडल वास्तव में स्थैतिक टाइपिंग से निकटता से संबंधित है। और यह केवल स्थैतिक टाइपिंग नहीं है, जैसा कि जावा भाषा में है, जिसमें अपेक्षाकृत अनुभवहीन अनाड़ी प्रकार की प्रणाली है, लेकिन स्थैतिक टाइपिंग, जो हास्केल या अपाचे कैमल में उपयोग की जाती है। यह टाइपिंग एक तरह से है कि कंपाइलर समझता है कि आप क्या कर रहे हैं और इसके कार्यक्रम में त्रुटियों को पकड़ता है।



यह पता चला है कि मुख्य उर भाषा जिस पर उर / वेब बनाया गया है, में स्थैतिक टाइपिंग की एक बहुत ही स्पष्ट प्रणाली है। उर / वेब जितना कुछ करता है, वास्तव में पुस्तकालयों द्वारा विशेष संकलक समर्थन के बिना प्रदान किया जाता है। उदाहरण के लिए, हमने कंपाइलर को सिखाया कि किस तरह से एसक्यूएल में प्रवेश करने के लिए नियम बनाए बिना एसक्यूएल प्रश्नों के प्रकार की जाँच करें। उन्हें पुस्तकालयों के रूप में एन्कोड किया जा सकता है और यह सुनिश्चित करने के लिए कि एसक्यूएल के नियमों का पालन करने के लिए एक मानक प्रकार का उपयोग करें।

इस संदर्भ में सबसे अधिक प्रासंगिक उच्च स्तर की सुरक्षा सुनिश्चित करना है - उर / वेब पर प्रोग्रामिंग करते समय सबसे आम सुरक्षा कमजोरियां असंभव हैं। आप हमेशा के लिए दुर्भावनापूर्ण कोड इंजेक्शन हमलों और क्रॉस-साइट स्क्रिप्टिंग हमलों को अलविदा कह सकते हैं। आप डरावने दिखने वाले ध्वज नामों को सबसे भयानक काम करने की अनुमति दे सकते हैं, जो किसी वेब एप्लिकेशन में किए जा सकते हैं, भले ही आप वास्तव में किसी और के इंटरफ़ेस के कार्यों का उपयोग करके किसी प्रकार का "काला जादू" करें।

कई अन्य सुरक्षा-विशिष्ट गुण हैं जिनकी मैं बाद में चर्चा करूंगा। प्रदर्शन भी बहुत अच्छा है। कंपाइलर मुख्य रूप से डोमेन के लिए सोर्स कोड बनाने के लिए अनुकूलित है और सी में हाथ से लिखे गए कोड की तुलना में बहुत अधिक उत्पादक है।

इसलिए, वह समझता है कि वेब एप्लिकेशन क्या कर रहा है, और कुछ चीजों को अनुकूलित कर सकता है जो एक पारंपरिक सामान्य प्रकार के कंपाइलर "पकड़" नहीं करेंगे। इसलिए, सर्वर पर चलने वाला यह संकलक स्रोत कोड सी कोड के साथ सफलतापूर्वक प्रतिस्पर्धा करता है। यदि हम अन्य भाषाओं में प्रोग्रामिंग की श्रम लागत के साथ प्रदर्शन सुनिश्चित करने की लागतों की तुलना करते हैं, तो हम देखते हैं कि यूआर / वेब प्रोग्रामर के जीवन को बहुत सरल करता है।

निम्नलिखित स्लाइड इस तृतीय-पक्ष वेब इंफ्रास्ट्रक्चर ढांचे के प्रदर्शन के लिए एक त्वरित बेंचमार्क दिखाती है।

यह अंतिम परीक्षण के परिणामों का एक स्क्रीनशॉट है, जिसमें विभिन्न फ्रेमवर्क द्वारा विभिन्न वेब प्रोग्रामिंग कार्यों का प्रदर्शन किया गया था।



आप देख सकते हैं कि उर / वेब ने प्रदर्शन परीक्षणों में भाग लेने वाले 60 चौखटों में से 4 वां स्थान प्राप्त किया। इस स्क्रीनशॉट को लेने के बाद, कंपाइलर में कुछ और सुधार किए गए। इसलिए, मुझे उम्मीद है कि अगले दौर में, अपने परिणामों के अनुसार, वह थोड़ा आगे बढ़ेगा। मूल रूप से, यह HTML पृष्ठों को उत्पन्न करने के लिए SQL का उपयोग करने का एक सरल उदाहरण है। आप उर / वेब सर्वर से प्रति सेकंड लगभग 100,000 अनुरोध प्राप्त करते हैं, और यह अधिकांश अनुप्रयोगों के लिए पर्याप्त से अधिक है। यह महत्वपूर्ण है कि यह स्लाइड इंगित करती है कि आप एक उच्च-स्तरीय मॉडल का उपयोग कर सकते हैं जो अधिक सामान्य चौखटे से थोड़ा कम प्रदर्शन करके अधिक सुरक्षा प्रदान करता है।

तो, मुझे उन चित्रों के साथ शुरू करना चाहिए जो आज के प्रोग्रामर के बारे में मेरी धारणा को दर्शाते हैं जो सबसे आम रूपरेखाओं का उपयोग करके वेब एप्लिकेशन लिखने के बारे में सोचते हैं। फिर मैं आपको उर / वेब द्वारा प्रदान किया गया एक और दृष्टिकोण दिखाऊंगा और जिसके अनुसार, बहुत सारी चीजें जो इस ढांचे में त्रुटियों के बिना गलत हो सकती हैं।

मुख्य चित्र एक वेब सर्वर है जिस पर आपके आवेदन की पूरी प्रक्रिया निर्भर करती है। और ब्राउज़र का एक पूरा बेड़ा है जो इस सर्वर के साथ इंटरैक्ट करने जा रहा है। सर्वर एक निश्चित स्थिति में रहेगा, जो इन सभी ब्राउज़रों के साथ बातचीत सुनिश्चित करता है।

सामान्य तस्वीर यह है कि ब्राउज़र वेब सर्वर के साथ एक HTTP अनुरोध भेजकर बातचीत करना शुरू करता है, जिसमें इसमें निर्मित URL शामिल होते हैं। उसके बाद, वेब सर्वर एचटीटीपी और एचटीएमएल पेज को ब्राउजर में वापस भेज देता है। हालांकि, कुछ अंतर्निहित URL हैं जिनका उपयोग यह निर्धारित करने के लिए किया जा सकता है कि भविष्य में वेब सर्वर को क्या अनुरोध करना चाहिए।



यह वेब सर्वर एक डेटाबेस के साथ भी संवाद कर सकता है जो एप्लिकेशन के सभी उपयोगकर्ताओं को लगातार भंडारण प्रदान करता है। इस स्थिति में, सर्वर नेटवर्क और डेटाबेस के बीच वार्तालाप के लिए एक लोकप्रिय SQL प्रोटोकॉल का उपयोग किया जाता है। यह वही है जो मैं उर / वेब की संभावनाओं पर चर्चा करते समय बात करूंगा।



आधुनिक वेब एप्लिकेशन केवल एक त्वरित पृष्ठ नहीं हैं। जब भी पृष्ठ पर कुछ बदलना चाहिए, आप सर्वर से एक नया अनुरोध करते हैं, जिसके बाद मॉड्यूल के पूरे पृष्ठ को बदल दिया जाता है। एक AJAX शैली है जिसके अनुसार ब्राउज़र कभी-कभी एक पृष्ठ दृश्य के दौरान वेब सर्वर पर अतिरिक्त HTTP अनुरोध भेजता है और उपयोगकर्ता प्रोग्राम द्वारा संसाधित होने वाली प्रतिक्रियाएं प्राप्त करता है। इस मामले में, XML और JSON जैसे डेटा अभ्यावेदन आमतौर पर उपयोग किए जाते हैं, साथ ही क्लाइंट और सर्वर के बीच डेटा के आदान-प्रदान के लिए अन्य सरल प्रारूप भी होते हैं।



फिर, जब ब्राउज़र यह जवाब देता है, तो कुछ जावास्क्रिप्ट कोड होते हैं जो उपयोगकर्ता इंटरफ़ेस को नियंत्रित करने के लिए मनमाने ढंग से तर्क को लागू करता है, जो उपयोगकर्ता को दिखाया जाता है।



यह जावास्क्रिप्ट कोड उन प्रतिक्रियाओं को पढ़ सकता है जो सर्वर विभिन्न AJAX कॉल को देता है। वह तब पृष्ठ को संशोधित कर सकता है, जो मुख्य रूप से वैश्विक डोम चर को बदलकर प्रदर्शित किया जाता है जो पृष्ठ के लिए निर्धारित है। कार्यक्रम का कोई भी हिस्सा इस वैश्विक चर को मनमाने ढंग से प्रभावित कर सकता है, जो एक पृष्ठ है। अक्सर एक पृष्ठ के कुछ हिस्सों को एक स्ट्रिंग आईडी द्वारा देखा जाता है जिसे एक दस्तावेज का वर्णन करते हुए एक पेड़ के नोड्स द्वारा एनोटेट किया जाता है।

और अंत में, एक और जटिलता यह है कि कभी-कभी हम चाहते हैं कि वेब सर्वर बिना किसी अनुरोध के ब्राउज़र के साथ संवाद करे। मान लीजिए कि एक नया ई-मेल संदेश प्रकट होता है, और वेब सर्वर ब्राउज़र को इस नए संदेश के बारे में सूचित करना चाहता है।



और ऐसा करने के कई तरीके हैं, उदाहरण के लिए, धूमकेतु - एक वेब एप्लिकेशन ऑपरेशन मॉडल जिसमें एक निरंतर HTTP कनेक्शन वेब सर्वर को ब्राउज़र से किसी भी अतिरिक्त अनुरोध के बिना ब्राउज़र पर डेटा भेजने की अनुमति देता है, या वेबस्केट डुप्लेक्स संचार प्रोटोकॉल, जो ब्राउज़र और सर्वर के बीच संचार करता है। वास्तविक समय में सिद्धांत रूप में, ये समान चीजें हैं, लेकिन एक वैचारिक रूप से अलग दिशा में हैं।

इसलिए, मैं इन सभी प्रोटोकॉल और भाषाओं में स्क्रीन पर लौटना चाहता हूं, पहले कुछ भागों को पीले रंग में चुना था। व्याख्यान नोट्स पढ़ने के बाद, क्या किसी ने अनुमान लगाया कि सुरक्षा के संदर्भ में इन सभी उजागर भागों के बीच क्या आम है?



छात्र: वे सभी लाइनें हैं जिनमें आप कुछ भी रख सकते हैं।

प्रोफेसर: सही ढंग से, प्रोग्रामिंग वेब अनुप्रयोगों के लिए आम तौर पर स्वीकृत दृष्टिकोण में, ये सभी चीजें स्ट्रिंग हैं। और प्रोग्रामिंग भाषा यह नहीं समझती है कि आप उनका उपयोग कैसे करते हैं, इसलिए यह आपको गलतियों से बचने में मदद नहीं कर सकता है। इसलिए, उदाहरण के लिए, इन चीजों को तार के रूप में पेश करने पर, आपको कोड इंजेक्शन हमले मिलते हैं। जहां तक ​​मैं बता सकता हूं, कोड इंजेक्शन हमले मुख्य रूप से आपकी प्रोग्रामिंग भाषा में एक आदिम के रूप में शामिल होते हैं या आपके ढांचे में कुछ फ़ंक्शन होते हैं जो पाठ के रूप में कार्यक्रम शुरू करते हैं, बल्कि एक अभिव्यंजक भाषा में।

उर / वेब में प्रोग्राम के रूप में स्ट्रिंग्स को निष्पादित करने के लिए कोई अंतर्निर्मित दुभाषिया नहीं है। और यह सबसे आम वेब एप्लिकेशन त्रुटियों में से कई को संरचनात्मक रूप से असंभव बनाता है। तो ये सभी चयनित वस्तुएं या तो अदृश्य होंगी या विशेष प्रकारों द्वारा दर्शाई जाएंगी, जिससे यह स्पष्ट हो जाता है कि आप किस कोड के साथ काम कर रहे हैं। हालाँकि, आपके पास इनमें से किसी भी विशेष प्रकार के तार के लिए कोई स्वचालित कास्ट नहीं है।

अब स्लाइड एक वैकल्पिक मॉडल दिखाती है जो यूआर / वेब प्रदान करता है और जो एक पारंपरिक मॉडल में संकलित होता है। तो यह सभी व्यापक ब्राउज़रों में काम करता है। लेकिन प्रोग्रामर उच्च स्तर पर इसके बारे में सोच सकता है और संभावित त्रुटियों से बच सकता है जो पिछली तस्वीर में संभव थे।



इसलिए हमारे पास अभी भी एक वेब सर्वर है जो अनुरोधों का जवाब देता है। और हमारे पास अभी भी ब्राउज़र का यह बेड़ा है जो एक वेब सर्वर का उपयोग करने की कोशिश कर रहा है। लेकिन पहला महत्वपूर्ण अंतर यह है कि जब कोई ब्राउज़र किसी वेब एप्लिकेशन का उपयोग शुरू करना चाहता है, तो वह केवल URL के साथ HTTP अनुरोधों की एक स्ट्रिंग नहीं भेजता है।

यह क्लाइंट को शामिल किए बिना सर्वर पर प्रथम श्रेणी का कार्य करता है। और फिर सर्वर न केवल HTTP प्रोटोकॉल पाठ की एक स्ट्रिंग के साथ, बल्कि एक सख्ती से टाइप किए गए दस्तावेज़ ट्री के साथ प्रतिक्रिया करता है। इस प्रकार, एक HTML स्ट्रिंग के बजाय, हमारे पास एक पेड़ है, एक प्रोग्रामिंग भाषा में, प्रथम श्रेणी का एक ऑब्जेक्ट। और कार्यक्रम इस विशेष पेड़ में हेरफेर करता है, न कि स्ट्रिंग।

इनमें से प्रत्येक पेड़ में लिंक होते हैं, जो अपने आप में अन्य कार्यों के लिए केवल फ़ुटनोट हैं जिन्हें सर्वर पर बुलाया जा सकता है। जब उपयोगकर्ता इन लिंक्स पर क्लिक करता है, तो ब्राउज़र फ़ंक्शन का चयन करता है और इसे मूल रूप से सर्वर पर कॉल करता है, मूल फ़ंक्शन के रूप में जिसे हमने इस बिंदु पर लाने के लिए बुलाया था।

हमारे पास एक डेटाबेस इंटरफ़ेस भी है जो डेटाबेस में अनुरोध भेजने वाले वेब सर्वर द्वारा एक्सेस किया जाता है। उर / वेब मॉडल में, यह सिर्फ पाठ नहीं है, बल्कि SQL सिंटैक्स पेड़ों को दृढ़ता से टाइप करता है। और फिर डेटाबेस पाठ के साथ नहीं, बल्कि उर प्रोग्रामिंग भाषा में आइजनवेल्यूज़ के रिकॉर्ड की सूची के साथ प्रतिक्रिया करेगा, जिसके साथ हम काम करते हैं।



इसलिए, हमें गलत तरीके से "मूल" अभ्यावेदन करने के लिए या "देशी" अभ्यावेदन को किसी अन्य प्रारूप में परिवर्तित करने के बारे में चिंता करने की आवश्यकता नहीं है जो डेटाबेस हमें पारंपरिक रूप से प्रदान कर सकता है।

यह एक प्रमुख तत्व है कि कैसे उर / वेब शब्दार्थ प्रोग्रामर के लिए बहुत सी स्क्रिप्ट के साथ काम करना आसान बनाता है जो वास्तव में अनुप्रयोग के चलने के दौरान हो सकता है।
रिलेशनल डेटाबेस की दुनिया में एक मानक लेन-देन का विचार है, जहां आप अन्य समानांतर थ्रेड्स के साथ उन्हें बाधित किए बिना कई ऑपरेशन कर सकते हैं। और यूआर / वेब इस मॉडल को एडाप्ट करता है और इसे भाषा के शब्दार्थ में एम्बेड करता है। इसलिए, जब क्लाइंट की ओर से सर्वर पर एक फ़ंक्शन किया जाता है, तो डेटाबेस तक इसकी सभी पहुंच एक ही सर्वर के अन्य सभी एक साथ अनुरोधों के कारण बिना किसी रुकावट के परमाणु ब्लॉक के रूप में होती है। यदि आप चाहते हैं, तो भी आप इस व्यवहार से बच नहीं सकते, क्योंकि ये लेन-देन प्रोग्रामिंग भाषा में बनाया गया है।

और वे वास्तव में समवर्ती प्रश्नों को चलाने के लिए आसान बनाते हैं और संभावित रूप से सुरक्षा मुद्दों से बचने में मदद करते हैं जब प्रश्नों के कुछ संयोजनों का कुछ विकल्प होता है।

मैं इस व्याख्यान के सारांश में प्रस्तुत किए गए प्रश्नों में से एक का उत्तर प्राप्त करना चाहता हूं और जिसने मुझे अंतर्विरोधित किया है। इसलिए, जब एक मृत अंत जैसे समानांतर निष्पादन समस्या के कारण लेन-देन विफल हो जाता है, तो उर / वेब पता लगाता है, और स्वचालित रूप से लेनदेन को पुनरारंभ करता है। किसी ने, सवालों का जवाब देते हुए लिखा कि यह सुरक्षा हमलों की शुरूआत को सुविधाजनक बना सकता है, जो संगामिती की समस्याओं के कारण लेनदेन की विफलता पर निर्भर करता है। मैं सिर्फ कक्षा से पूछना चाहता था, क्या कोई इस तरह के हमले का उदाहरण दे सकता है, जैसा कि आप कल्पना करते हैं? यदि आपके पास एक ऐसी प्रणाली है जो स्वचालित रूप से गतिरोध में लेनदेन को फिर से शुरू करती है, तो यह सुरक्षा समस्याओं का कारण कैसे बन सकता है? मेरे पास इस सवाल का कोई जवाब नहीं है, यही कारण है कि मैं पूछता हूं। इस प्रश्न का ऐसा अस्पष्ट उत्तर हो सकता है कि यह स्पष्ट रूप से चर्चा के लायक हो।



छात्र: शायद यह DoS सेवा की किसी प्रकार की विफलता का कारण बन सकता है? यदि वह आपके द्वारा भेजे जा रहे लेन-देन को पुनः आरंभ करने जा रहा है, और आप जानते हैं कि यह सफल नहीं होगा, तो आप बस इस प्रक्रिया को फिर से शुरू कर सकते हैं और पुनः प्रयास कर सकते हैं ...

प्रोफेसर: ठीक है, जाओ ...

छात्र: यदि आप सिस्टम को वह करने के लिए मजबूर करते हैं जो आप जानते हैं, तो यह कभी सफल नहीं होगा, आप बार-बार कोशिश कर सकते हैं, और अंत में, सेवा को विफल करने का कारण बनेंगे।

प्रोफेसर: सही है, लेकिन ऐसा करने के लिए, आपको एक ही समय में काम करने के लिए कम से कम दो धागे चाहिए। हालांकि यह संभावित रूप से काम कर सकता है, आप सेवा हमले से इनकार करने में सक्षम हो सकते हैं। इस मामले में, आप इस तथ्य का लाभ उठा सकते हैं कि हैंडलर को बार-बार फिर से शुरू किया जाता है और जानबूझकर टकराव का कारण बनता है, और इसे इस प्रकार के हमले के एक पारंपरिक मॉडल की मदद से आप क्या प्राप्त कर सकते हैं इसके अलावा DoS हमलों की शक्ति को बढ़ाने के लिए उपयोग करें। वैसे, मैं इस पर विश्वास कर सकता हूं।

छात्र: क्या यह लेनदेन में विफलता का एकमात्र कारण है?

प्रोफेसर: हाँ, यह एक दुर्घटना और स्वत: पुनः आरंभ करने का एकमात्र तरीका है।

छात्र: शायद कोई तीसरा पक्ष है जो सशर्त रूप से विफल हो जाएगा। तब आप अन्य उपयोगकर्ताओं के व्यवहार की निगरानी के लिए इसका उपयोग कर सकते थे।

प्रोफेसर: आपको यह देखने के लिए एक तरीके की आवश्यकता होगी कि कोई व्यक्ति विफल हो गया है, लेकिन आप केवल कुछ समय बाद ऐसा करने में सक्षम होंगे। हालाँकि, यह भी एक समस्या हो सकती है। , , , . , . , , , . .



: , , , . , ?

: , , , .

: , , , ? , .

: , , . , .

: , , , , , ?

: , , , , , ? , – , . . , , .

: , , ?

: , , . , , , . , – .

, -. AJAX, .



, . , . , - .



, . , .

, Ur/Web , . — , . , , . — , , .

— , , , . , , , .

. Ur/Web- Ur/Web-. JavaScript, . , . .

, , . , . , , , . , , , .



. , , , , , . . , , JavaScript.

JavaScript , , , JavaScript .

, , Ur/Web- — . , , , . JSON. .



, , . , . . - .

, , , , . : «, », . «» .



, . , ?

: , ?

: RPC , . , .

— , . , , .

: ?

: HTTP-. , - , , , HTTP .
, , . . , Ur/Web. , .



, . , , URL- URL-. . , URL.

URL . - , URL. , HTML . HTML. , XML-, , .

- , . HTML- , .



, , . , , UTF-8. , .

, UTF-8, . - , Tangled Web ( ), Ur/Web, , .

, , , , , , .

, Ur/Web.

27:45

एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। 11: « Ur/Web», 2


पाठ्यक्रम का पूरा संस्करण यहां उपलब्ध है ।

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?