Страницы Github Переезжают На Github.io

С сегодняшнего дня все сайты GitHub Pages переезжают на новый домен: github.io. Эта мера безопасности направлена на предотвращение CSRF-атак на главный сервер — github.com. Если ваш сайт настроен как «yoursite.com» вместо «yoursite.github.com», изменения никак на вас не повлияют. Если ваш сайт ранее располагался на домене «username.github.com», последующие запросы будут перенаправляться на новый домен: «username.github.io».

Отныне все сайты, размещенные на поддоменах github.com, могут и должны рассматриваться как официальные продукты GitHub.

Технические детали

• Все пользователи, организации и сайты проектов настроены для работы с github.io вместо github.com.
• Все сайты *.

  github.com перенаправляются с кодом 301 на *.

  github.io.

• Сайты, с пользовательские домены изменения не коснулись.

• IP-адреса не изменились, существующие A-записи указывают на старые IP-адреса.

Изменения в репозиториях GitHub:

• Пользовательские сайты могут быть названы, используя новое или старое соглашение: имя пользователя/имя_пользователя.

  github.[io/com].

• Существующие репозитории сайта, названные согласно старому соглашению, продолжат работать.

• Если есть два репозитория, названные в соответствии со старым и новым соглашением, победит *.

  github.io.

Уязвимости безопасности.

• Изменение сессий и CSRF. Поскольку пользовательские сайты могут включать JavaScript, хранящийся на поддоменах github.com, становится возможным записывать (но не читать) файлы cookie из домена github.com, что позволяет злоумышленнику получить доступ к github.com и провести атаку.

• Фишинговые атаки, при которых злоумышленник создает аналогичный веб-сайт и запрашивает у пользователя конфиденциальную информацию.

Источник: github.com/blog/1452-new-github-pages-domain-github-io УПД : В комментариях s01o указал на быстрый Егор Хомаков, там рассказывается, как еще можно провести атаку.

Как оказалось, в браузерах WebKit это возможно, так как они особым образом работают с куками.

Вот как это работает в обычных браузерах:

Cookie:_gh_sess=ORIGINAL; _gh_sess=HACKED;

Вы должны понимать, что _gh_sess — это два разных файла cookie, несмотря на название, и они отправляются одновременно.

В WebKit ситуация другая, куки отправляются не по домену (первая запись должна быть Domain=github.com) точно так же, как и httpOnly (очевидно, они тоже должны быть в начале).

На самом деле они отсортированы по времени создания (здесь я, должно быть, ошибаюсь, но это так)

• Ит-Офисы: Штаб-Квартира Брокерской Компании G2 Insurance В Сан-Франциско.

  19 Oct, 24

• 404 Сообщение

  19 Oct, 24

• Как Установить Linux Из Сети

  19 Oct, 24

• Читалка Pocketbook Basic 613: Первые Впечатления

  19 Oct, 24

• Дайджест Laravel (22 Февраля – 7 Марта 2021 Г.)

  19 Oct, 24

• Еще Один Умный Дом, Состоящий Из Нескольких Частей. Метеостанция Из Подручных Материалов

  19 Oct, 24

• И Почему Erp?

  19 Oct, 24

• Метод Конечных Объемов – Реализация На Примере Теплопроводности

  19 Oct, 24

• Локализация Названия Приложения Для Windowsphone: Руководство По Уменьшению Геморроя

  19 Oct, 24

• Обновление Планшета Lenovo Thinkpad До Android 4.0.3

  19 Oct, 24