XSSを防ぐ新しいXSS-Protectionヘッダ - ASnoKaze blog

テクノロジーカテゴリーの変更を依頼記事元:

asnokaze.hatenablog.com

204 usersがブックマークコメント

XSSを防ぐ新しいXSS-Protectionヘッダ - ASnoKaze blog

evalとreportOnlyについて追記しました (2016/10/10) 2016/10/20 仕様名は以下の通りになりました。Anti... evalとreportOnlyについて追記しました (2016/10/10) 2016/10/20 仕様名は以下の通りになりました。Anti-XSS Response-Time Uniqueness Requirement また、ヘッダ名は、XSS-Protectionヘッダではなく、ARTURヘッダとなっておりますが、また変更される可能性があります。 Googleの調査によると、CSPによるXSSの防止は現実的にデプロイの欠陥によりXSSの防止効果がないことを示しています。調査は「CSP Is Dead, Long Live CSP!」としてACMのカンファレンスで発表され、ペーパーも閲覧することができます。 9月に行われたW3C TPAC 2016のWebAppSecのミーティングで議論され、GoogleのMike West氏より新しくXSS Protectionという仕様が提案されて

y-kawaz 通常、広告とかアナリティクスとか付けるからハッシュは使いにくそう、あと生アナリティクスならnonceでいけそうだがタグマネージャーみないなのは適用難しそうだな…。あとnonceはキャッシュとの兼ね合いも悩むな。

2016/10/09 リンク

tmatsuu む。nonceってことはユーザ毎に変えるってこと？ページキャッシュと相性が悪そうだが…なんかどこに向かってんのか分からなくなってきた。

2016/11/12 リンク

nilab 「Googleの調査によると、CSPによるXSSの防止は現実的にデプロイの欠陥によりXSSの防止効果がないことを示しています。調査は「CSP Is Dead, Long Live CSP!」としてACMのカンファレンスで発表され、ペーパーも閲覧することができ」

vanbraam b:id:entry:303668819の詳報.助かる;domainだと粒度が大きすぎるのでelement毎に制御可能に,と解釈したが,細かい制御を面倒がると結局同じ事になりそう.nonceを使う手法は,nonceがバレたら悪用されそう.cryptographyどこいったのだろう?