Cross-Origin Resource Sharing (CORS)

SOP parantaa tietoturvaa, mutta se aiheuttaa ongelmia nykyaikaisissa web-arkkitehtuureissa.

Monien sovellusten, erityisesti SPA-sovellusten, on haettava tietoja eri verkkotunnuksessa tai portissa sijaitsevista rajapinnoista. Esimerkiksi:

• SPA-sovelluksesi sijaitsee osoitteessa https://my-app.com
• API:si sijaitsee osoitteessa https://api.my-app.com
• OAuth2 Authorization Server -palvelimesi sijaitsee osoitteessa https://auth.my-app.com

CORS tarjoaa hallitun tavan lieventää SOP-käytännön rajoituksia, jolloin eri alkuperien väliset pyynnöt ovat mahdollisia tietoturvan säilyessä.

Selaimet luokittelevat jotkin eri alkuperien väliset pyynnöt "yksinkertaisiksi". Ne eivät käynnistä erillistä esipyyntöä.

Pyyntö on yksinkertainen, jos kaikki seuraavat ehdot täyttyvät:

• Metodi on GET, HEAD tai POST.
• Käytössä on vain tiettyjä sallittuja otsakkeita (esimerkiksi Accept, Accept-Language, Content-Language ja Content-Type).
• Content-Type-otsakkeen arvo on jokin seuraavista: application/x-www-form-urlencoded, multipart/form-data tai text/plain.

Jos pyyntö on yksinkertainen, selain lähettää sen suoraan ja palvelin sisällyttää vastaukseensa CORS-otsakkeet.

Useimmat nykyaikaisten SPA-sovellusten pyynnöt, erityisesti OAuth2-tunnuksiin liittyvät pyynnöt, eivät ole yksinkertaisia.

"Monimutkainen" pyyntö edellyttää, että selain lähettää ennen varsinaista pyyntöä "esipyynnön" eli OPTIONS-pyynnön:

• Metodit: PUT, DELETE tai mukautetut metodit.
• Otsakkeet: Mukautetut otsakkeet, kuten käyttöoikeustunnusten Authorization.
• Content-Type: application/json (rajapinnoissa yleinen).

Palvelimen on vastattava tähän OPTIONS-pyyntöön asianmukaisilla CORS-otsakkeilla ja ilmoitettava, sallitaanko varsinainen pyyntö.

Palvelin ilmoittaa CORS-käytäntönsä tietyillä HTTP-vastausotsakkeilla:

• Access-Control-Allow-Origin: Määrittää, mitkä alkuperät saavat käyttää resurssia. Arvona voi olla * (jokerimerkki, jonka käyttöä ei tietoturvasyistä yleensä suositella) tai tietty alkuperä, kuten https://my-app.com.
• Access-Control-Allow-Methods: Luettelee resurssille sallitut HTTP-metodit (esimerkiksi GET, POST, PUT, DELETE).
• Access-Control-Allow-Headers: Ilmoittaa, mitkä HTTP-otsakkeet (esimerkiksi Authorization, Content-Type) ovat sallittuja varsinaisessa pyynnössä.

Nämä otsakkeet ovat välttämättömiä, jotta selain voi sallia eri alkuperien välisen pyynnön.

Access-Control-Allow-Credentials-otsake on toinen tärkeä CORS-otsake.

Kun sen arvoksi asetetaan true, se ilmoittaa selaimelle, että palvelin sallii evästeiden, HTTP-todennuksen tai asiakaspuolen SSL-varmenteiden sisällyttämisen eri alkuperien väliseen pyyntöön.

OAuth2/OIDC:ssä käyttöoikeustunnukset lähetetään yleensä Authorization-otsakkeessa, ei evästeinä. Jos käytätte kuitenkin istuntoevästeitä todennukseen tai identiteetin hallintaan tunnusten rinnalla, tämä otsake on olennainen.

CORS on olennainen useissa OAuth2/OIDC:n vaiheissa:

• Tunnuksen vaihto: SPA-sovelluksen on ehkä vaihdettava valtuutuskoodi käyttöoikeustunnukseen Authorization Serverin token-päätepisteessä. Tämä on eri alkuperien välinen POST-pyyntö.
• API:n käyttö: Kun SPA-sovelluksella on käyttöoikeustunnus, se käyttää sitä kutsuessaan Resource Serverin API:a (esimerkiksi GET /userinfo tai POST /orders). Tämäkin on eri alkuperien välinen pyyntö.

Authorization Server ja Resource Server on määritettävä oikein, jotta ne sallivat nämä pyynnöt SPA-sovelluksen alkuperästä.

Varmistakaa turvalliset OAuth2/OIDC-toteutukset CORS:n kanssa seuraavasti:

• Täsmälliset alkuperät: Määrittäkää Access-Control-Allow-Origin-otsakkeessa aina täsmälliset alkuperät (esimerkiksi https://my-app.com), älkääkä käyttäkö tuotannossa arvoa *.
• Rajoittakaa metodit ja otsakkeet: Sallikaa vain ne HTTP-metodit ja otsakkeet, joita asiakassovellukset todella tarvitsevat.
• Määrittäkää palvelimet: Varmistakaa, että Authorization Server ja Resource Server on määritetty lähettämään tarvittavat CORS-otsakkeet.
• Käsitelkää esipyynnöt: Varmistakaa, että palvelin pystyy vastaamaan OPTIONS-pyyntöihin esipyyntöjen tarkistamista varten.

Virheellisesti määritetty CORS voi aiheuttaa tietoturva-aukkoja ja mahdollistaa luvattoman käytön.

Olette oppineet Cross-Origin Resource Sharingista (CORS) ja sen tärkeästä roolista nykyaikaisten web-sovellusten suojaamisessa, erityisesti OAuth2:ta ja OpenID Connectia hyödyntävissä sovelluksissa.

• CORS lieventää selaimen Same-Origin Policy -käytännön rajoituksia.
• Se mahdollistaa turvallisen viestinnän eri alkuperien välillä.
• OAuth2-tunnuksia käytettäessä esipyynnöt ovat tavallisia "monimutkaisissa" API-kutsuissa.
• CORS-otsakkeiden asianmukainen palvelinpuolen määritys (Access-Control-Allow-Origin, Access-Control-Allow-Methods, Access-Control-Allow-Headers) on ratkaisevan tärkeää.

Noudattakaa aina parhaita käytäntöjä, jotta suojatut resurssinne eivät paljastu virheellisten määritysten vuoksi.