Content Security Policy (CSP)
En CSP kan begrænse tilladte scriptkilder i browseren. En politik, der kun rapporterer, registrerer overtrædelser, men håndhæver ikke reglerne.
Content Security Policy, forkortet CSP, er en sikkerhedspolitik, som et websted sender til browseren. Dens direktiver kan blandt andet fastlægge, hvilke scripts og andre ressourcer et dokument må indlæse. Browseren anvender de fastlagte regler; en CSP’s tilstedeværelse siger ikke i sig selv noget om, hvor strenge de er.
Skeln mellem rapportering og håndhævelse
En fiktiv projektportal planlægger først en politik via svarheaderen Content-Security-Policy-Report-Only med et konfigureret rapporteringsendepunkt. Denne politik rapporterer overtrædelser, men blokerer dem ikke. En rapport kan også pege på en nødvendig ressource, der mangler i de planlagte regler; den er ikke i sig selv bevis for et angreb.
Den håndhævende version leveres via Content-Security-Policy. Den blokerer overtrædelser af de regler, den dækker. Ved skiftet skal teamet derfor også kontrollere, at portalens nødvendige funktioner stadig virker. En anden politik, som allerede håndhæves, kan være aktiv under prøveforløbet.
Et ekstra beskyttelseslag
MDN beskriver blandt andet CSP som ekstra forsvar mod cross-site scripting. Sikre steder til output og den nødvendige rensning af tilladt HTML er stadig påkrævet. Portaleksemplet forklarer de to tilstande; det indeholder ingen konfiguration afprøvet på et virkeligt websted.
Kilder
Relaterede begreber
- Cross-site scripting (XSS)Ved XSS bliver eksternt indhold til kode, der kan køres i browseren. Det afgørende er, hvordan applikationen indsætter input på sine sider.
- HTMLHTML beskriver webindholds struktur og betydning. Det skelner eksempelvis mellem overskrifter, tabeller og indtastningsfelter.
- FrontendFrontend er den grænseflade, mennesker betjener. Nyttig feedback i browseren erstatter ikke afgørende kontroller på serveren.
- DataminimeringDataminimering begrænser personoplysninger til det, der er passende, relevant og nødvendigt for et fastlagt formål.
- Politik for dataopbevaringEn politik for dataopbevaring fastlægger formål, start, varighed og afslutning. Sletteopgaver og kopier skal indgå i den tekniske løsning.
- Envelope-krypteringEnvelope-kryptering adskiller datanøglen fra nøglen, der beskytter den. Den krypterede fil og indpakkede datanøgle skal håndteres sammen.
Dit projekt med ASES
Beskriv dit projekt for os. Vi vender tilbage med en første vurdering.