Integrity protection for third-party JavaScriptModern web applications depend on a lot of auxiliary scripts which are often hosted on third-party CDNs. Should an attacker be able to tamper with the f…
ãã‚ãã‚CSP Lv.2 nonceã‚„ã‚ㆠ- teppeis blog
tl;dr CSP Lv.2ã®nonceを使ã†ã¨æ„外ã¨ç°¡å˜ã«CSPã®æ©æµã‚’å—ã‘れるよ Firefoxã¯unsafe-inlineã¨ã®æŒ™å‹•ãŒãŠã‹ã—ã„ã®ã§æ³¨æ„ サンプル実装ã¨ã—ã¦Expressã§ç°¡å˜ã«nonce対応ã§ãã‚‹connectプラグインを書ã„ãŸï¼ˆãƒ‡ãƒ¢ã‚り） Violation Reportもブラウザã«ã‚ˆã£ã¦ç´°ã‹ã„挙動ã®å·®ç•°ãŒã‚るよ CSP Lv.2 nonceã®ç™»å ´ã¨èƒŒæ™¯ CSPã®ç‰¹ã«unsafe-inlineã¯XSSã«å¯¾ã—ã¦æœ€çµ‚防衛線的ã«å¼·åŠ›ãªåŠ¹æžœãŒã‚る。 ã—ã‹ã—特ã«ã‚µãƒ¼ãƒãƒ¼ã‹ã‚‰ã®å€¤ã®å—ã‘渡ã—部分ãªã©ã§ã©ã†ã—ã¦ã‚‚inline scriptを使ã„ãŸããªã‚‹ã¨ã“ã‚ãŒã‚ã‚Šã€unsafe-inlineã‚’ç¦æ¢ã™ã‚‹ã¨DOM dataç‰ã‚’使ã‚ã–ã‚‹ã‚’å¾—ãšã€ã¤ã‚‰ã„æ„Ÿã˜ã ã£ãŸã€‚ @kazuho ã§ã™ã。ã‹ã¨ã„ã£ã¦DOM dataã‹ãƒ¼ã€ã€ã¨ã„ã†æ„Ÿã˜ã§ã¯ã‚ã‚‹ã‚“ã§ã™ãŒã€CSPã§inline scriptç¦æ¢ã—ã¡
Introducing Content Security Policy - MDC Doc Center
ã“ã®ãƒšãƒ¼ã‚¸ã¯ã‚³ãƒŸãƒ¥ãƒ‹ãƒ†ã‚£ãƒ¼ã®å°½åŠ›ã§è‹±èªžã‹ã‚‰ç¿»è¨³ã•ã‚Œã¾ã—ãŸã€‚MDN Web Docs コミュニティーã«ã¤ã„ã¦ã‚‚ã£ã¨çŸ¥ã‚Šã€ä»²é–“ã«ãªã‚‹ã«ã¯ã“ã¡ã‚‰ã‹ã‚‰ã€‚ P� �View in English ���Always switch to English コンテンツセã‚ュリティãƒãƒªã‚·ãƒ¼ (CSP) ã¯ã€ç‰¹å®šã®ç¨®é¡žã®ã‚»ã‚ュリティ脅å¨ã®ãƒªã‚¹ã‚¯ã‚’防æ¢ã¾ãŸã¯æœ€å°é™ã«æŠ‘ãˆã‚‹ã®ã«å½¹ç«‹ã¤æ©Ÿèƒ½ã§ã™ã€‚ã“ã‚Œã¯ã€ã‚¦ã‚§ãƒ–サイトã‹ã‚‰ãƒ–ラウザーã¸ã®ä¸€é€£ã®æŒ‡ç¤ºã§æ§‹æˆã•ã‚Œã¦ãŠã‚Šã€ã‚µã‚¤ãƒˆã‚’構æˆã™ã‚‹ã‚³ãƒ¼ãƒ‰ãŒå®Ÿè¡Œã§ãã‚‹ã“ã¨ã‚’制é™ã™ã‚‹ã‚ˆã†ã«ãƒ–ラウザーã«æŒ‡ç¤ºã—ã¾ã™ã€‚ CSP ã®ä¸»ãªç”¨é€”ã¯ã€æ–‡æ›¸ãŒèªã¿è¾¼ã‚€ã“ã¨ã‚’許å¯ã™ã‚‹ãƒªã‚½ãƒ¼ã‚¹ã€ç‰¹ã« JavaScript リソースを制御ã™ã‚‹ã“ã¨ã§ã™ã€‚ã“ã‚Œã¯ä¸»ã«ã€æ”»æ’ƒè€…ãŒè¢«å®³è€…ã®ã‚µã‚¤ãƒˆã«æ‚ªæ„ã®ã‚るコードを注入ã™ã‚‹ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング (XSS) 攻撃ã«å¯¾ã™ã‚‹é˜²å¾¡ã¨ã—ã¦ä½¿ç”¨ã•ã‚Œã¾ã™ã€‚ CSP ã«ã¯ä»–ã«ã‚‚ã€ã‚¯
CSP Lv.2ã®è©±
#ssmjp 2014/10 XSSã®é‹ç”¨ã®è©± é–“é•ã„ãªã©ã‚ã‚Šã¾ã—ãŸã‚‰ @yagihashoo ã¾ã§ã€‚ ## 10/28 9:26追記 nonce-valueã€è¦æ ¼ä¸Šã¯Base64ã よï¼ã¨ã„ã†æŒ‡æ‘˜ã‚’ã„ãŸã ã„ãŸã®ã§ã‚¹ãƒ©ã‚¤ãƒ‰18-19ã‚’ä¿®æ£ã—ã¾ã—ãŸã€‚ 詳細ã¯ä»¥ä¸‹ã‚’ã”覧ãã ã•ã„。 http://www.w3.org/TR/CSP2/#source-list-valid-nonces ## 10/29 15:00追記 Path matchingã®ä¾‹ç¤ºã«ã¤ã„ã¦é–“é•ã„ãŒã‚ã£ãŸãŸã‚スライド14ã‚’ä¿®æ£ã—ã¾ã—ãŸã€‚
弊社ã®ãƒ›ãƒ¼ãƒ ページã«Content Security Policy(CSP)ã‚’å°Žå…¥ã—ã¾ã—ãŸ
弊社ã®ãƒ›ãƒ¼ãƒ ページã«CSP(Content Security Policy)ã‚’å°Žå…¥ã—ã¾ã—ãŸã€‚CSPã«ã¤ã„ã¦ã¯ã€ã¯ã›ãŒã‚よã†ã™ã‘æ°ã®ã‚¹ãƒ©ã‚¤ãƒ‰ã€Œ5分ã§ã‚ã‹ã‚‹CSPã€ãŒã‚ã‹ã‚Šã‚„ã™ã„ã¨æ€ã„ã¾ã™ã€‚以下ã«ã‚¹ãƒ©ã‚¤ãƒ‰ã®ä¸€éƒ¨ã‚’引用ã—ã¾ã™ã€‚ 具体的ã«ã¯ã€ä»¥ä¸‹ã®ã‚ˆã†ã«æŒ‡å®šã—ã¦ä½¿ã„ã¾ã™ã€‚ Content-Security-Policy: default-src 'self' ã“ã®çµæžœã€ä»¥ä¸‹ã®ã‚ˆã†ã«JavaScriptã®è¨˜è¿°ãŒåˆ¶é™ã•ã‚Œã¾ã™ã€‚ 外部ã®JavaScriptã®èªã¿è¾¼ã¿ã¯ç¦æ¢ HTMLソースã«è¨˜è¿°ã—ãŸ<script>...</script>ã®JavaScriptã¯ç¦æ¢ イベント属性(onload="xxxx"ãªã©)ã¯ç¦æ¢ 何も書ã‘ãªããªã‚‹ã˜ã‚ƒãªã„ã‹ã¨æ€ã‚れるã‹ã‚‚ã—ã‚Œã¾ã›ã‚“ãŒã€JavaScriptã¯å…¨ã¦*.jsファイルã«è¨˜è¿°ã™ã‚Œã°ã‚ˆã„ã€ã¨ã„ã†ã“ã¨ã§ã™ã€‚ CSPã¯ã€JavaScriptã®ã‚³ãƒ¼ãƒ‰ã¨ãƒ‡ãƒ¼ã‚¿ã‚’分離ã—ã¦
1
メンテナンス
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
BSidesLA Managing Content Security Policy
{{#tags}}- {{label}}
{{/tags}}