Heroku
·
安全改进：子域重用缓解
💡
原文英文，约600词，阅读约需2分钟。
📝
内容提要
子域重用是一种安全漏洞，攻击者可控制目标域名。2023年6月14日，Heroku更改了herokuapp.com域名格式，采用<app-name>-<random-identifier>.herokuapp.com，删除应用后原名称不再可用，从而降低攻击风险。此更改无需用户操作，提升了域名管理的安全性。
🎯
关键要点
- 子域重用是一种安全漏洞，攻击者可以控制目标域名。
- 2023年6月14日，Heroku更改了herokuapp.com域名格式，采用<app-name>-<random-identifier>.herokuapp.com。
- 新格式降低了子域重用的风险，提升了域名管理的安全性。
- 删除Heroku应用后，原名称立即可被其他用户使用，攻击者可利用这一点进行攻击。
- 攻击者可以通过伪装原应用来窃取用户的会话cookie。
- 使用合法的子域名使得网络钓鱼攻击更容易实施。
- 被攻击的子域名可能会泄露OAuth令牌。
- 新格式通过附加随机标识符来防止这些安全漏洞。
- 即使使用默认的herokuapp.com域名，用户也可以安全使用。
- Heroku不断改进域名管理的安全性，以防止域名劫持和类似攻击。
❓
延伸问答
什么是子域重用漏洞？
子域重用是一种安全漏洞，攻击者可以控制目标域名，通常发生在应用被弃用后。
Heroku是如何改进子域重用的安全性？
Heroku通过更改域名格式为<app-name>-<random-identifier>.herokuapp.com，降低了子域重用的风险。
删除Heroku应用后会发生什么？
删除应用后，其名称立即可被其他用户使用，攻击者可能利用这一点进行攻击。
攻击者如何利用子域重用进行网络钓鱼？
攻击者可以使用合法的子域名伪装原应用，从而更容易实施网络钓鱼攻击。
新域名格式如何防止安全漏洞？
新格式通过附加随机标识符，防止攻击者创建与原应用相同的子域名，从而降低安全风险。
使用默认herokuapp.com域名是否安全？
即使使用默认的herokuapp.com域名，用户也可以安全使用，因为新格式防止了子域名被劫持。
➡️
