Integrity protection for third-party JavaScriptModern web applications depend on a lot of auxiliary scripts which are often hosted on third-party CDNs. Should an attacker be able to tamper with the f…
ãã‚ãã‚CSP Lv.2 nonceã‚„ã‚ㆠ- teppeis blog
tl;dr CSP Lv.2ã®nonceを使ã†ã¨æ„外ã¨ç°¡å˜ã«CSPã®æ©æµã‚’å—ã‘れるよ Firefoxã¯unsafe-inlineã¨ã®æŒ™å‹•ãŒãŠã‹ã—ã„ã®ã§æ³¨æ„ サンプル実装ã¨ã—ã¦Expressã§ç°¡å˜ã«nonce対応ã§ãã‚‹connectプラグインを書ã„ãŸï¼ˆãƒ‡ãƒ¢ã‚り） Violation Reportもブラウザã«ã‚ˆã£ã¦ç´°ã‹ã„挙動ã®å·®ç•°ãŒã‚るよ CSP Lv.2 nonceã®ç™»å ´ã¨èƒŒæ™¯ CSPã®ç‰¹ã«unsafe-inlineã¯XSSã«å¯¾ã—ã¦æœ€çµ‚防衛線的ã«å¼·åŠ›ãªåŠ¹æžœãŒã‚る。 ã—ã‹ã—特ã«ã‚µãƒ¼ãƒãƒ¼ã‹ã‚‰ã®å€¤ã®å—ã‘渡ã—部分ãªã©ã§ã©ã†ã—ã¦ã‚‚inline scriptを使ã„ãŸããªã‚‹ã¨ã“ã‚ãŒã‚ã‚Šã€unsafe-inlineã‚’ç¦æ¢ã™ã‚‹ã¨DOM dataç‰ã‚’使ã‚ã–ã‚‹ã‚’å¾—ãšã€ã¤ã‚‰ã„æ„Ÿã˜ã ã£ãŸã€‚ @kazuho ã§ã™ã。ã‹ã¨ã„ã£ã¦DOM dataã‹ãƒ¼ã€ã€ã¨ã„ã†æ„Ÿã˜ã§ã¯ã‚ã‚‹ã‚“ã§ã™ãŒã€CSPã§inline scriptç¦æ¢ã—ã¡
Introducing Content Security Policy - MDC Doc Center
HTTP ガイド HTTP ã®æ¦‚è¦ å…¸åž‹çš„ãª HTTP セッション HTTP メッセージ MIME タイプ（IANA メディア種別） HTTP ã®åœ§ç¸® HTTP ã‚ャッシュ HTTP èªè¨¼ HTTP Cookie ã®ä½¿ç”¨ HTTP ã®ãƒªãƒ€ã‚¤ãƒ¬ã‚¯ãƒˆ HTTP æ¡ä»¶ä»˜ãリクエスト HTTP 範囲リクエスト コンテンツãƒã‚´ã‚·ã‚¨ãƒ¼ã‚·ãƒ§ãƒ³ HTTP/1.x ã®ã‚³ãƒã‚¯ã‚·ãƒ§ãƒ³ç®¡ç† HTTP ã®é€²åŒ– プãƒãƒˆã‚³ãƒ«ã®ã‚¢ãƒƒãƒ—グレードã®ä»•çµ„㿠プãƒã‚シサーãƒãƒ¼ã¨ãƒˆãƒ³ãƒãƒªãƒ³ã‚° HTTP クライアントヒント HTTP ã‚»ã‚ュリティ サイトã®å®‰å…¨åŒ– HTTP Observatory Permissions Policy コンテンツセã‚ュリティãƒãƒªã‚·ãƒ¼ (CSP) オリジン間リソース共有 (CORS) Cross-Origin Resource Policy (CORP) Strict-Transport-Securit
CSP Lv.2ã®è©±
#ssmjp 2014/10 XSSã®é‹ç”¨ã®è©± é–“é•ã„ãªã©ã‚ã‚Šã¾ã—ãŸã‚‰ @yagihashoo ã¾ã§ã€‚ ## 10/28 9:26追記 nonce-valueã€è¦æ ¼ä¸Šã¯Base64ã よï¼ã¨ã„ã†æŒ‡æ‘˜ã‚’ã„ãŸã ã„ãŸã®ã§ã‚¹ãƒ©ã‚¤ãƒ‰18-19ã‚’ä¿®æ£ã—ã¾ã—ãŸã€‚ 詳細ã¯ä»¥ä¸‹ã‚’ã”覧ãã ã•ã„。 http://www.w3.org/TR/CSP2/#source-list-valid-nonces ## 10/29 15:00追記 Path matchingã®ä¾‹ç¤ºã«ã¤ã„ã¦é–“é•ã„ãŒã‚ã£ãŸãŸã‚スライド14ã‚’ä¿®æ£ã—ã¾ã—ãŸã€‚Read less
弊社ã®ãƒ›ãƒ¼ãƒ ページã«Content Security Policy(CSP)ã‚’å°Žå…¥ã—ã¾ã—ãŸ
弊社ã®ãƒ›ãƒ¼ãƒ ページã«CSP(Content Security Policy)ã‚’å°Žå…¥ã—ã¾ã—ãŸã€‚CSPã«ã¤ã„ã¦ã¯ã€ã¯ã›ãŒã‚よã†ã™ã‘æ°ã®ã‚¹ãƒ©ã‚¤ãƒ‰ã€Œ5分ã§ã‚ã‹ã‚‹CSPã€ãŒã‚ã‹ã‚Šã‚„ã™ã„ã¨æ€ã„ã¾ã™ã€‚以下ã«ã‚¹ãƒ©ã‚¤ãƒ‰ã®ä¸€éƒ¨ã‚’引用ã—ã¾ã™ã€‚ 具体的ã«ã¯ã€ä»¥ä¸‹ã®ã‚ˆã†ã«æŒ‡å®šã—ã¦ä½¿ã„ã¾ã™ã€‚ Content-Security-Policy: default-src 'self' ã“ã®çµæžœã€ä»¥ä¸‹ã®ã‚ˆã†ã«JavaScriptã®è¨˜è¿°ãŒåˆ¶é™ã•ã‚Œã¾ã™ã€‚ 外部ã®JavaScriptã®èªã¿è¾¼ã¿ã¯ç¦æ¢ HTMLソースã«è¨˜è¿°ã—ãŸ<script>...</script>ã®JavaScriptã¯ç¦æ¢ イベント属性(onload="xxxx"ãªã©)ã¯ç¦æ¢ 何も書ã‘ãªããªã‚‹ã˜ã‚ƒãªã„ã‹ã¨æ€ã‚れるã‹ã‚‚ã—ã‚Œã¾ã›ã‚“ãŒã€JavaScriptã¯å…¨ã¦*.jsファイルã«è¨˜è¿°ã™ã‚Œã°ã‚ˆã„ã€ã¨ã„ã†ã“ã¨ã§ã™ã€‚ CSPã¯ã€JavaScriptã®ã‚³ãƒ¼ãƒ‰ã¨ãƒ‡ãƒ¼ã‚¿ã‚’分離ã—ã¦
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
BSidesLA Managing Content Security Policy
{{#tags}}- {{label}}
{{/tags}}