İçerik Güvenliği İlkesi: meta http-equiv

İçerik Güvenliği Politikası, bir sayfanın hangi kaynakları yükleyip çalıştırabileceğini kısıtlayan ve tarayıcı tarafından uygulanan bir politikadır. Siteler arası betik çalıştırmaya karşı en güçlü savunmadır: bir saldırgan <script> etiketi enjekte etse bile tarayıcı, politika izin vermediği sürece bunu çalıştırmayı reddeder.

CSP, bir HTTP yanıt üst bilgisi (Content-Security-Policy: ...) olarak veya HTML içindeki bir meta etiketiyle gönderilebilir: <meta http-equiv="Content-Security-Policy" content="...">. Üst bilgi tercih edilir; sunucuyu denetleyemediğiniz durumlarda meta etiketi kullanışlıdır.

default-src, belirtilmemiş kaynak türleri için yedektir. script-src, style-src, img-src, connect-src (XHR/veri çekme), font-src ve frame-src kendi kaynak türlerini kısıtlar. Belirli kaynakları izin listesine alın veya yalnızca aynı kaynak için 'self' kullanın.

Tırnak içindeki 'self', sayfanın kendi kaynağını belirtir. script-src 'self', "yalnızca sayfayla aynı kaynakta barındırılan betikleri çalıştır" anlamına gelir. Bu, çoğu politika için temel kuraldır; gerektiğinde belirli harici CDN'leri ekleyin.

CSP, varsayılan olarak tüm satır içi <script> etiketlerini ve olay işleyici özniteliklerini (onclick) engeller. Bu, XSS'e karşı en güçlü korumadır: enjekte edilen bir <script> satır içi olduğu için çalışamaz. Tüm betikleri src ile başvurulan harici dosyalara taşıyın.

Gerekli satır içi betikler için nonce kullanın: sunucu her istek için rastgele bir belirteç üretir, bunu CSP içinde script-src 'nonce-RANDOM' olarak ayarlar ve meşru <script> etiketlerine nonce="RANDOM" ekler. Enjekte edilen betiklerde nonce bulunmadığından bunlar engellenir.

'unsafe-inline', satır içi betiklere ve stillere yeniden izin verir. 'unsafe-eval', eval() ve new Function() kullanımına yeniden izin verir. Her ikisi de CSP'yi ciddi biçimde zayıflatır; bunları yalnızca geçiş sürecinde son çare olarak kullanın ve kaldırılmalarını planlayın.

Meta etiketi aracılığıyla gönderilen CSP, report-uri yönergesini veya diğer raporlama özelliklerini kullanamaz. Ayrıca bir üst bilgiden daha geç etkili olur; meta etiketinden önceki her şey korumasızdır. Üst bilgiler kesinlikle daha iyidir; meta etiketini yalnızca yedek olarak kullanın.

Yeni bir politikayı siteyi bozmadan sınayın: Content-Security-Policy-Report-Only: .... Tarayıcı ihlalleri bildirir ancak bunları engellemez; böylece politika, zorunlu uygulamaya geçmeden önce tüm meşru kaynaklara izin verecek şekilde iyileştirilebilir.

style-src 'unsafe-inline' kuralını unutmak, satır içi stilleri engeller; bu stiller genellikle çerçeveler tarafından üretilir. connect-src kuralını unutmak, API'lere AJAX isteklerini engeller. Politikayı her zaman önce yalnızca raporlama modunda sınayın ve engellenen kaynaklar için konsolu inceleyin.

Sıkı CSP, betikler için script-src 'nonce-RANDOM' 'strict-dynamic' ile diğer her şey için dar bir izin listesini birleştirir. 'strict-dynamic', nonce içeren betiklerin her birini listelemeden başka betikler yüklemesine izin verir; bu, kaynak başına izin listelerini yönetmekten çok daha kolaydır.

Saldırgan bir betik etiketi enjekte etmeyi başarsa bile CSP, XSS saldırılarına karşı nasıl koruma sağlar?

CSP; hangi betiklerin, stillerin, görsellerin ve diğer kaynakların yüklenebileceğini kısıtlayan, tarayıcı tarafından uygulanan bir politikadır. Yanıt üst bilgisiyle (tercih edilen yöntem) veya meta etiketiyle gönderin. Gerekli satır içi betikler için nonce kullanın, unsafe-inline/unsafe-eval kullanmaktan kaçının ve önce yalnızca raporlama modunda sınayın. 'nonce-X' 'strict-dynamic' içeren sıkı CSP, günümüzdeki temel yaklaşımdır.