Thomas Steiner
speaker
445 appearances
1 recordings
1 series
first heard Aug 2026
last heard 4 Aug
Thomas Steiner’s voice in public audio — every appearance, attributed to the second.
Trend
recordings per month · last 12 monthsRecordings per month over the last 12 months — 1 in all, peaking in Aug 2026 with 1.
Appearances
den Hash ausrechnen und dann einfach direkt Probing betreiben.
Also ich bin jetzt irgendwie Evil Attacker und möchte ausfinden, gibt es jemand, der jetzt vielleicht Kunde dieser Backe ist, dann schaue ich einfach, hat er die Ressourcen mit dem Hash von diesem Logo im Cross-Copy.
Und wenn die Bank jetzt quasi noch ungeschickter war und das dann geshared hat mit Star, also sprich für alle, mit Sternchen für alle, dann wäre dieser Zugriff tatsächlich theoretisch möglich.
Dass das aber nicht der Fall ist, also dass das nicht geht, da kommt dann ein weiteres Konzept hinzu und das nennt sich die Public Hashlist, PHL.
Die Idee ist letztendlich, dass die Browsern sich zusammentun und sagen, lass uns doch einfach mal schauen, global, was wissen wir, was sind die populärsten Ressourcen?
Und sobald ich eben weiß, eine Ressource ist sehr, sehr populär, dann wird es eben nicht mehr zum Orakel, also sprich, wenn ich dann weiß, der Benutzer war auf einer Seite, die React verwendet hat.
Gut, weiß dann nicht viel über die Person, das ist dann kein identifizierendes Merkmal mehr.
Genau, dann hast du so eine sogenannte K-Anonymity.
Also sprich, K ist dann natürlich sehr, sehr groß, K-Seiten verwenden diese Ressource und weil das K eben sehr, sehr groß ist, ist dann am Ende nichts mehr Nützliches über diesen Leak in Anführungszeichen möglich.
Genau, und auf dieser Public-Hashlist ist dann eben die Idee, dass sich die Vendoren zusammentun und dann eben verschiedene Quellen anschauen.
Also es gibt ja verschiedene...
mehr oder weniger offene CDNs, es gibt die guten und alten Google Ajax und das Microsoft Ajax CDN, wo man die ganzen alten jQuery-Versionen dann drauf findet, es gibt NPM, wo man die Downloadzahlen hat, HTTP Archive, Chrome selbst verwendet eine sogenannte Most Pervasive Resource Liste, die eben letztendlich auch über das HTTP Archive gespeist wird und genau, da sind wir gerade dabei, so ein bisschen zu schauen,
Wäre das denn möglich, dass man die meisten Ressourcen, die eben im Web so anzutreffen sind und die sehr, sehr populär sind, dass man die auf diese Public Hashlist, PHL, übernimmt?
Und dann hast du natürlich noch das Problem mit den AI-Modellen.
Also AI-Modelle sind natürlich populär, aber längst nicht so populär wie jQuery.
Und ja, da ist dann die Idee, dass man sagt, okay, Hugging Face, was ja das bisher zentrale AI-Modell-Hub ist, die haben auch so eine Art Ranking, wo sie eben sagen, was sind die populärsten AI-Modelle.
Und da schauen wir uns einfach an, die oberen, was auf immer, 10.000, 100.000, 1.000, muss man jetzt noch genau schauen, was der Schwellwert dann ist.
Und genau diese 10.000, wie auch immer, AI-Modelle, deren Hash ist, übernehmen wir dann eben auch manuell sozusagen auf die Public Hashlist.
Also das ist quasi so ein Sicherheitsmechanismus, der eben dann versichert, dass du entweder sehr, sehr populäre Ressourcen oder eben allow listed Ressourcen, also AI-Modelle zum Beispiel, wo wir eben sagen, die sind nicht populär genug heute, aber wir wissen, da ist durchaus Bedarf da.
dass du eben dann diese Ressourcen bekommst.
Showing 221–240 of 445 · page 12 of 23
← Previous
Next →