यह एक कोड-गोल्फ पहेली है, जो वास्तविक दुनिया के अनुप्रयोग के साथ है। कुछ वर्तमान ब्राउज़र, यदि आप ऐसा URL दर्ज करते हैं जो दिखता है
data:text/html,<script>alert("hi")</script>दिए गए जावास्क्रिप्ट कोड को निष्पादित करेगा। अब मान लीजिए कि आपके पास एक URL था जो (pseudocode) जैसा दिखता था:
data:text/html,<script>
myPublicKey="12345678";
cryptoLib=download("http://example.com/somecryptolib.js");
if(sha256sum(cryptoLib) == "12345678")
eval(cryptoLib)
</script>यदि आपने इसे QR कोड के रूप में व्यावसायिक कार्ड पर मुद्रित किया है , तो जो कोई भी उपयुक्त ब्राउज़र के साथ उस URL पर गया, उसे सार्वजनिक कुंजी क्रिप्टो क्लाइंट मिलेगा, जिसमें आपकी सार्वजनिक कुंजी पहले से भरी हुई है, बिना कुछ भी इंस्टॉल किए। हैश सत्यापन के कारण, आप आश्वस्त हो सकते हैं कि उन्हें असली क्रिप्टो सॉफ्टवेयर मिला है, भले ही उनका आईएसपी ट्रैफिक से मेल खाता हो।
दुर्भाग्य से, इस छद्मकोड का वास्तविक संस्करण एक क्यूआर कोड के लिए काफी लंबा है। मेरी चुनौती है: आप इसे कितना छोटा बना सकते हैं? एक कार्यान्वयन होगा:
- एक डेटा बनें: ... URL जो क्रोम और फ़ायरफ़ॉक्स के एड्रेस बार से सही तरीके से निष्पादित होता है। (एक वैध डेटा बनाने के लिए: URL, आपको% को 25% के रूप में एन्कोड करना होगा, और न्यूलाइन्स को स्ट्रिप करना होगा)
- एक URL और एक SHA-256 हैश एम्बेडेड है, अधिमानतः शुरुआत के पास सादे-पाठ स्ट्रिंग शाब्दिक के रूप में
- XMLHttpRequest (या समान API) का उपयोग करके URL से फ़ाइल डाउनलोड करें । (ध्यान दें कि सर्वर को इसमें काम करने के लिए एक एक्सेस-कंट्रोल-अलाउंस-ओरिजिन: * हेडर शामिल करना होगा।)
- यदि वह URL सफलतापूर्वक लोड हो गया है और परिणाम अपेक्षित हैश, eval () के साथ एक फ़ाइल है। अन्यथा कुछ भी न करें या त्रुटि संदेश न दिखाएं।
- क्रोम और फ़ायरफ़ॉक्स दोनों में मौजूद सभी अंतर्निहित जावास्क्रिप्ट फ़ंक्शंस निष्पक्ष खेल हैं, लेकिन पुस्तकालयों को लोड करना असंभव है।
- जितना संभव हो उतना कम बाइट्स का उपयोग करें
मैंने CryptoJS ( छोटा संस्करण ) का उपयोग करके एक भोला संस्करण बनाया :
data:text/html,<script>
u = 'http://localhost:8000'
h = '5e3f73c606a82d68ef40f9f9405200ce24adfd9a4189c2bc39015345f0ee46d4'
// Insert CryptoJS here
r = new XMLHttpRequest;
r.open('GET', u, false);
r.send();
if(CryptoJS.SHA256(r.response) == h)
eval(r.response);
</script>जो मिनिफायर से बाहर आता है:
data:text/html,<script>u="http://localhost:8000";h="5e3f73c606a82d68ef40f9f9405200ce24adfd9a4189c2bc39015345f0ee46d4";var CryptoJS=CryptoJS||function(k,w){var f={},x=f.lib={},g=function(){},l=x.Base={extend:function(a){g.prototype=this;var c=new g;a&&c.mixIn(a);c.hasOwnProperty("init")||(c.init=function(){c.$super.init.apply(this,arguments)});c.init.prototype=c;c.$super=this;return c},create:function(){var a=this.extend();a.init.apply(a,arguments);return a},init:function(){},mixIn:function(a){for(var c in a)a.hasOwnProperty(c)&&(this[c]=a[c]);a.hasOwnProperty("toString")&&(this.toString=a.toString)},clone:function(){return this.init.prototype.extend(this)}},t=x.WordArray=l.extend({init:function(a,c){a=this.words=a||[];this.sigBytes=c!=w?c:4*a.length},toString:function(a){return(a||y).stringify(this)},concat:function(a){var c=this.words,d=a.words,b=this.sigBytes;a=a.sigBytes;this.clamp();if(b%254)for(var e=0;e<a;e++)c[b+e>>>2]|=(d[e>>>2]>>>24-8*(e%254)&255)<<24-8*((b+e)%254);else if(65535<d.length)for(e=0;e<a;e+=4)c[b+e>>>2]=d[e>>>2];else c.push.apply(c,d);this.sigBytes+=a;return this},clamp:function(){var a=this.words,c=this.sigBytes;a[c>>>2]&=4294967295<<32-8*(c%254);a.length=k.ceil(c/4)},clone:function(){var a=l.clone.call(this);a.words=this.words.slice(0);return a},random:function(a){for(var c=[],d=0;d<a;d+=4)c.push((1<<30)*4*k.random()|0);return new t.init(c,a)}}),z=f.enc={},y=z.Hex={stringify:function(a){var c=a.words;a=a.sigBytes;for(var d=[],b=0;b<a;b++){var e=c[b>>>2]>>>24-8*(b%254)&255;d.push((e>>>4).toString(16));d.push((e&15).toString(16))}return d.join("")},parse:function(a){for(var c=a.length,d=[],b=0;b<c;b+=2)d[b>>>3]|=parseInt(a.substr(b,2),16)<<24-4*(b%258);return new t.init(d,c/2)}},m=z.Latin1={stringify:function(a){var c=a.words;a=a.sigBytes;for(var d=[],b=0;b<a;b++)d.push(String.fromCharCode(c[b>>>2]>>>24-8*(b%254)&255));return d.join("")},parse:function(a){for(var c=a.length,d=[],b=0;b<c;b++)d[b>>>2]|=(a.charCodeAt(b)&255)<<24-8*(b%254);return new t.init(d,c)}},n=z.Utf8={stringify:function(a){try{return decodeURIComponent(escape(m.stringify(a)))}catch(c){throw Error("Malformed UTF-8 data");}},parse:function(a){return m.parse(unescape(encodeURIComponent(a)))}},B=x.BufferedBlockAlgorithm=l.extend({reset:function(){this._data=new t.init;this._nDataBytes=0},_append:function(a){"string"==typeof a&&(a=n.parse(a));this._data.concat(a);this._nDataBytes+=a.sigBytes},_process:function(a){var c=this._data,d=c.words,b=c.sigBytes,e=this.blockSize,f=b/(4*e),f=a?k.ceil(f):k.max((f|0)-this._minBufferSize,0);a=f*e;b=k.min(4*a,b);if(a){for(var p=0;p<a;p+=e)this._doProcessBlock(d,p);p=d.splice(0,a);c.sigBytes-=b}return new t.init(p,b)},clone:function(){var a=l.clone.call(this);a._data=this._data.clone();return a},_minBufferSize:0});x.Hasher=B.extend({cfg:l.extend(),init:function(a){this.cfg=this.cfg.extend(a);this.reset()},reset:function(){B.reset.call(this);this._doReset()},update:function(a){this._append(a);this._process();return this},finalize:function(a){a&&this._append(a);return this._doFinalize()},blockSize:16,_createHelper:function(a){return function(c,d){return(new a.init(d)).finalize(c)}},_createHmacHelper:function(a){return function(c,d){return(new A.HMAC.init(a,d)).finalize(c)}}});var A=f.algo={};return f}(Math);(function(k){for(var w=CryptoJS,f=w.lib,x=f.WordArray,g=f.Hasher,f=w.algo,l=[],t=[],z=function(a){return (1<<30)*4*(a-(a|0))|0},y=2,m=0;64>m;){var n;a:{n=y;for(var B=k.sqrt(n),A=2;A<=B;A++)if(!(n%25A)){n=!1;break a}n=!0}n&&(8>m&&(l[m]=z(k.pow(y,0.5))),t[m]=z(k.pow(y,1/3)),m++);y++}var a=[],f=f.SHA256=g.extend({_doReset:function(){this._hash=new x.init(l.slice(0))},_doProcessBlock:function(c,d){for(var b=this._hash.words,e=b[0],f=b[1],p=b[2],k=b[3],s=b[4],l=b[5],m=b[6],n=b[7],q=0;64>q;q++){if(16>q)a[q]=c[d+q]|0;else{var v=a[q-15],g=a[q-2];a[q]=((v<<25|v>>>7)^(v<<14|v>>>18)^v>>>3)+a[q-7]+((g<<15|g>>>17)^(g<<13|g>>>19)^g>>>10)+a[q-16]}v=n+((s<<26|s>>>6)^(s<<21|s>>>11)^(s<<7|s>>>25))+(s&l^~s&m)+t[q]+a[q];g=((e<<30|e>>>2)^(e<<19|e>>>13)^(e<<10|e>>>22))+(e&f^e&p^f&p);n=m;m=l;l=s;s=k+v|0;k=p;p=f;f=e;e=v+g|0}b[0]=b[0]+e|0;b[1]=b[1]+f|0;b[2]=b[2]+p|0;b[3]=b[3]+k|0;b[4]=b[4]+s|0;b[5]=b[5]+l|0;b[6]=b[6]+m|0;b[7]=b[7]+n|0},_doFinalize:function(){var a=this._data,d=a.words,b=8*this._nDataBytes,e=8*a.sigBytes;d[e>>>5]|=128<<24-e%2532;d[(e+64>>>9<<4)+14]=k.floor(b/(1<<30)*4);d[(e+64>>>9<<4)+15]=b;a.sigBytes=4*d.length;this._process();return this._hash},clone:function(){var a=g.clone.call(this);a._hash=this._hash.clone();return a}});w.SHA256=g._createHelper(f);w.HmacSHA256=g._createHmacHelper(f)})(Math);r=new XMLHttpRequest;r.open("GET",u,!1);r.send();CryptoJS.SHA256(r.response)==h&&eval(r.response)</script> इस न्यूनतम पायथन सर्वर के साथ परीक्षण किया गया:
import BaseHTTPServer
class RequestHandler(BaseHTTPServer.BaseHTTPRequestHandler):
def do_HEAD(s):
s.send_response(200)
s._sendHeaders()
s.end_headers()
def do_GET(s):
s.send_response(200)
s._sendHeaders()
s.end_headers()
s.wfile.write('alert("Success!")')
def _sendHeaders(s):
s.send_header("Content-type", "script/javascript");
s.send_header("Access-Control-Allow-Origin", "*");
def run(server_class=BaseHTTPServer.HTTPServer,
handler_class=RequestHandler):
server_address = ('', 8000)
httpd = server_class(server_address, handler_class)
httpd.serve_forever()
run()जावास्क्रिप्ट भाग 4700 बाइट्स है, लेकिन यह बहुत छोटा हो सकता है। यह कितना छोटा हो सकता है?
सही; सुरक्षित होने के लिए, पहली भरी हुई फ़ाइल के पास कोड का उपयोग करके अपना हैश मान्य होना चाहिए जो पूरी तरह से URL में हो। सौभाग्य से, इसे केवल एक हैश फ़ंक्शन की आवश्यकता है (जो जरूरी नहीं कि SHA-256 होना चाहिए, हालांकि), जो कि 4700 बाइट्स भोलेपन से था और संभवतः भारी अनुकूलन के साथ <1kb हो सकता है। (यह तब एक बड़े पुस्तकालय को लोड करने और सत्यापित करने का काम करता है, जहां आकार इतना mcuh से कोई फर्क नहीं पड़ता क्योंकि यह अब URL के अंदर नहीं है)।
—
jimrandomh
"पुस्तकालयों को लोड करना असंभव है।" - लोडिंग पुस्तकालयों को अनुमति नहीं दी जानी चाहिए, सिवाय इसके कि यह कोड से किया जाना चाहिए, जैसे कि एक
—
जॉन ड्वोरक
scriptतत्व बनाकर , अपनी asyncसंपत्ति सेट करना falseऔर इसे दस्तावेज़ में सम्मिलित करना?
@JDDvorak, लेकिन आप कैसे पुष्टि करते हैं कि लाइब्रेरी को संशोधित नहीं किया गया है?
—
पीटर टेलर
script/javascript? आपका मतलब है text/javascript।
evalऔर फिर क्रिप्टो लाइब्रेरी लोड के साथ दूसरा अनुरोध करना इस सही के बिंदु को हरा देगा? मैंने कुछ समय एक समाधान पर काम करने में बिताया है और ऐसा करने में समाप्त हो गया है, लेकिन फिर महसूस किया कि इसका मतलब है कि आईएसपी को क्रिप्टो लाइब्रेरी के साथ खिलवाड़ नहीं करना चाहिए जो एक समस्या है।