Content-Security-Policy

Nagłówek Content-Security-Policy to parametr monitoringu stron internetowych, który sprawdza, czy odpowiedź serwera zawiera nagłówek Content-Security-Policy. Pomiar kończy się jednym z trzech wyników: nagłówek obecny, brak nagłówka albo nie udało się pobrać odpowiedzi. Content Security Policy (CSP) to mechanizm, którym twórca strony określa, jakie zasoby dokument może pobrać lub wykonać; ma ograniczać ryzyko ataków polegających na wstrzyknięciu treści ^[1].

Jak działa

Polityka składa się z dyrektyw. Dyrektywa default-src jest wartością zapasową dla pozostałych dyrektyw pobierania, a script-src wskazuje dozwolone źródła JavaScriptu i WebAssembly ^[2]. Gdy polityka zawiera default-src albo script-src, przeglądarka nie wykonuje skryptów osadzonych w kodzie HTML: elementów script z treścią, atrybutów obsługi zdarzeń, takich jak onerror, ani adresów javascript: ^[3]. Domyślnie blokowane są też eval() i podobne funkcje, chyba że polityka zawiera słowo unsafe-eval ^[3].

Skrypt osadzony można dopuścić słowem unsafe-inline, jednorazowym kodem (ang. nonce) albo skrótem kryptograficznym treści: SHA-256, SHA-384 lub SHA-512 ^[1]. Nonce musi być inny w każdej odpowiedzi HTTP i nieprzewidywalny ^[3]. Wyrażenie strict-dynamic pozwala skryptowi już dopuszczonemu ładować kolejne skrypty, więc zaufanie przechodzi dalej bez listy domen ^[1]. Skrypt wstrzyknięty przez atakującego nie zna właściwego nonce, więc przeglądarka odmawia jego wykonania i wysyła raport o naruszeniu ^[3].

RYS. 1.1Wstrzyknięty skrypt zablokowany

Nagłówek Content-Security-Policy-Report-Only pozwala sprawdzić politykę bez jej egzekwowania: przeglądarka tylko monitoruje skutki ^[1]. Jeśli odpowiedź zawiera oba nagłówki, polityka z Content-Security-Policy jest egzekwowana, a polityka Report-Only generuje wyłącznie raporty ^[3]. Raporty trafiają do odbiorcy wskazanego dyrektywą report-to ^[2]. Kolejne nagłówki Content-Security-Policy mogą uprawnienia dokumentu tylko dalej zawężać ^[2].

RYS. 1.2Wdrożenie CSP

Standardy i specyfikacje

• CSP Level 3 (W3C, szkic roboczy) definiuje dyrektywy, źródła nonce i hash, wyrażenie strict-dynamic oraz nagłówek Report-Only. Dyrektywa report-to zastępuje wycofywaną report-uri ^[1].
• Politykę można dostarczyć także elementem meta z atrybutem http-equiv. W tej formie nie działają nagłówek Report-Only ani dyrektywy report-uri, frame-ancestors i sandbox ^[1].
• OWASP zaleca politykę ścisłą script-src 'nonce-{RANDOM}' 'strict-dynamic'; object-src 'none'; base-uri 'none'; ^[4]. Dyrektywa frame-ancestors ogranicza osadzanie strony w ramkach, więc CSP chroni także przed clickjackingiem ^[4].

Zagrożenia i skutki

XSS bez drugiej warstwy. OWASP zastrzega, że CSP nie może być jedynym zabezpieczeniem przed XSS i nie zwalnia z dobrych praktyk programistycznych, takich jak kodowanie danych wyjściowych ^[4]. Bez polityki twórca strony nie kontroluje, jakie zasoby dokument pobiera i wykonuje ^[1], więc skrypt wstrzyknięty przez lukę w aplikacji działa jak każdy inny.

Polityka obecna, ale nieskuteczna. Weichselbaum, Spagnuolo, Lekies i Janc (Google, ACM CCS 2016) przeanalizowali 26 011 unikalnych polityk z 1 680 867 hostów ^[5]. Nieskutecznych okazało się 94,68% polityk, które próbowały ograniczyć wykonywanie skryptów, a 99,34% hostów z CSP używało polityk niedających korzyści wobec XSS ^[5]. Źródłem obejść były listy dozwolonych domen: 75,81% polityk używało list pozwalających obejść CSP, a 14 z 15 domen najczęściej dopuszczanych dla skryptów miało niebezpieczne punkty końcowe ^[5]. Autorzy zaproponowali polityki oparte na nonce z wyrażeniem strict-dynamic ^[5]. OWASP ostrzega podobnie, że zbyt szczegółowa albo zbyt liberalna polityka nieścisła prowadzi do obejść ^[4].

WordPress i skrypty osadzone. Przy ścisłej CSP każdy element script musi mieć atrybut nonce zgodny z polityką ^[6]. WordPress dodał funkcje przekazujące atrybuty, np. nonce, do znaczników skryptów, także osadzonych, dopiero w wersji 5.7 z 2021 roku; zespół rdzenia opisał to jako drogę do CSP w rdzeniu, wtyczkach i motywach ^[6]. Wtyczki i motywy nie powinny nadpisywać atrybutu nonce, jeśli nie odpowiadają za integrację z CSP ^[6]. Skrypt osadzony wypisany z pominięciem tych funkcji, bez nonce i bez skrótu, zostanie przez politykę ścisłą zablokowany ^[3].

Zbyt ostra polityka. Egzekwowana polityka blokuje także prawowite skrypty bez nonce albo skrótu ^[3], dlatego zmiany sprawdza się najpierw w trybie Report-Only ^[1].

Przykłady

Nagłówek albo sytuacja	Skutek w przeglądarce
brak nagłówka	brak polityki: dokument pobiera i wykonuje zasoby bez ograniczeń CSP [1]
default-src 'self'	zasoby z własnego pochodzenia; skrypty osadzone i eval() zablokowane [2] [3]
script-src 'nonce-{RANDOM}' 'strict-dynamic'; object-src 'none'; base-uri 'none';	polityka ścisła zalecana przez OWASP [4]
script-src 'self' 'unsafe-inline'	skrypty osadzone dozwolone, także wstrzyknięte [1] [3]
lista popularnych domen w script-src	w badaniu Google zwykle do obejścia [5]
tylko Content-Security-Policy-Report-Only	raporty naruszeń, bez blokowania [1]
polityka w elemencie meta	działa bez frame-ancestors, sandbox i report-uri [1]