本APNIC文摘原標題為Web cache attacks in the tangled web，由Akamai資安團隊的架構師Kaan Onarlioglu撰文。
每則成功抵達目的地的HTTP訊息，都必須經歷艱險漫長的網路旅程。
這些訊息必須歷經巨大的內容傳遞網路、雲端平臺、封包檢測、容量平衡測試，以及沿途不時出現的代理伺服器，才能抵達最終目的地。有了快取（cache）技術存下這趟遠征的沿途資料，訊息就得以縮短加快回程；換句話說，多虧了網路上遍布的代理伺服器和快取，網際網路通訊的規模才得以持續成長。
在傳送HTTP訊息時，網路系統中的各元件都可能需要拆解、分析，甚至轉換格式。但是，網際網路分散式的技術本質，也意味著這些在不同地方進行的不同動作，並非總是以同樣的形式執行。這些看似細微的差異，一不注意就可能如雪球般越滾越大，最後引發網頁快取的安全問題。
為了深入了解類似問題，本文作者與Akamai團隊、美國東北大學（Northeastern University），以及義大利特倫多大學（University of Trento）針對網頁快取詐騙（Web Cache Deception，WCD）展開聯合研究計畫，研究成果也於最近舉辦的Usenix安全論壇發表。本文僅簡介研究重點發現，有興趣的讀者也可由此閱讀研究全文。
研究結果發現幾項重點。首先，不能以「單一元件失常」的觀點理解網頁快取攻擊。網頁快取攻擊的規模並不僅限於孤立元件，唯有以宏觀視角看待網路中所有元素的互動情況，才能更有效的監控網路快取攻擊。
最理想的解決方案，是針對所有HTTP處理器展開全面、系統性的調查，釐清期間的互動情形，進而建立特定公用的設置規範。然而，目前市面上仍不具足夠成熟的工具得以達成此理想。
雖然這表示目前對於網頁快取攻擊我們只能被動反擊，但作者仍保持樂觀。網頁快取攻擊容易啟動的本質，反而提供白帽駭客絕佳的測試機會。只要在內部網路架設好適當的測試環境，內部測試團隊及專家可以盡情測試而無須擔心引發衍生的安全威脅。作者認為，結合持續成長的網頁快取攻擊相關研究文獻，以及實體動態測試結果，上述的理想解決方案將不再遙不可及。
*台灣網路資訊中心（TWNIC）與亞太網路資訊中心（APNIC）合作，定期精選APNIC Blog文章翻譯摘要，提供中心部落格讀者了解目前亞太地區網路發展之最新趨勢。原文標題為Web cache attacks in the tangled web
圖片來源：APNIC網站
