Content Security Policy: meta http-equiv

Content Security Policy è una policy applicata dal browser che limita le risorse che una pagina può caricare ed eseguire. È la difesa più efficace contro Cross-Site Scripting: anche se un attaccante inserisce un tag <script>, il browser rifiuta di eseguirlo a meno che la policy non lo consenta.

CSP può essere inviato come header HTTP della risposta (Content-Security-Policy: ...) oppure come meta tag nell'HTML: <meta http-equiv="Content-Security-Policy" content="...">. L'header è preferibile; il meta tag è utile quando non può controllare il server.

default-src è il valore predefinito per i tipi di risorse non specificati. script-src, style-src, img-src, connect-src (XHR/fetch), font-src e frame-src limitano ciascuno il proprio tipo di risorsa. Inserisca nella lista consentita origini specifiche oppure utilizzi 'self' per consentire solo la stessa origine.

'self', tra virgolette, indica l'origine della pagina stessa. script-src 'self' significa "esegui solo gli script ospitati sulla stessa origine della pagina". Questa è la base della maggior parte delle policy; aggiunga CDN esterni specifici quando necessario.

Per impostazione predefinita, CSP blocca tutti i tag <script> inline e gli attributi dei gestori di eventi (onclick). Questa è la protezione XSS più efficace: uno <script> inserito da un attaccante non può essere eseguito perché è inline. Sposti tutti gli script in file esterni referenziati da src.

Per gli script inline necessari, utilizzi un nonce: il server genera un token casuale per ogni richiesta, lo imposta come script-src 'nonce-RANDOM' nella CSP e aggiunge nonce="RANDOM" ai tag <script> legittimi. Gli script inseriti da un attaccante non hanno il nonce e vengono bloccati.

'unsafe-inline' riabilita gli script e gli stili inline. 'unsafe-eval' riabilita eval() e new Function(). Entrambi indeboliscono gravemente CSP: li utilizzi solo come ultima risorsa durante una migrazione e pianifichi di rimuoverli.

La CSP distribuita tramite meta tag non può utilizzare la direttiva report-uri né altre funzionalità di reportistica. Inoltre, entra in vigore più tardi rispetto a un header: tutto ciò che precede il meta tag non è protetto. Gli header sono decisamente migliori; utilizzi il meta tag solo come soluzione alternativa.

Verifichi una nuova policy senza interrompere il sito: Content-Security-Policy-Report-Only: .... Il browser segnala le violazioni senza bloccarle, permettendole di perfezionare la policy finché non consente tutte le risorse legittime, prima di passare all'applicazione effettiva.

Dimenticare style-src 'unsafe-inline' blocca gli stili inline, spesso generati dai framework. Dimenticare connect-src blocca le richieste AJAX alle API. Verifichi sempre la policy prima in modalità report-only e controlli nella console quali risorse sono state bloccate.

Una CSP restrittiva combina script-src 'nonce-RANDOM' 'strict-dynamic' per gli script con una lista consentita rigorosa per tutto il resto. 'strict-dynamic' consente agli script con nonce di caricare altri script senza elencarli uno per uno: è molto più facile da gestire rispetto alle liste consentite per origine.

In che modo CSP difende dagli attacchi XSS anche quando un attaccante riesce a inserire un tag script?

CSP è una policy applicata dal browser che limita il caricamento di script, stili, immagini e altre risorse. La distribuisca tramite l'header della risposta, soluzione preferibile, oppure tramite un meta tag. Utilizzi i nonce per gli script inline necessari, eviti unsafe-inline e unsafe-eval e verifichi prima in modalità report-only. Una CSP restrittiva con 'nonce-X' 'strict-dynamic' è lo standard moderno di base.