Tengo que agregar el encabezado CSP a un sitio. El problema es que este es un código heredado y hay muchos scripts y estilos en línea en el HTML. No puedo usar 'inseguro en línea' ya que el objetivo es hacer que el sitio sea realmente seguro y esta directiva da una bandera roja en el escaneo de la herramienta OWASP ZAP. Puedo refactorizar el código HTML y JS hasta cierto punto, pero tengo algunas preguntas:
Probé un nonce fijo (solo para POC) y una forma hash de incluir en la lista blanca los scripts en línea. Pero dado que todo el HTML es estático, ¿cómo puedo agregar un nuevo nonce a las etiquetas de script para cada solicitud (como es el caso real de nonce)?
¿Es mejor proporcionar hash de todos los scripts y estilos requeridos que nonce para tal caso?
Si refactorizo el código para todo el HTML para eliminar todas las secuencias de comandos en línea de la etiqueta del cuerpo y agrego el código en una sola etiqueta de secuencia de comandos en la cabeza, ¿eso significa que se eliminan las secuencias de comandos en línea? En resumen, ¿en cuenta como script en línea?
- Pero dado que todo el HTML es estático , ¿cómo puedo agregar un nuevo nonce a las etiquetas de script para cada solicitud (como es el caso real de nonce)?
Un 'hash value' se usa comúnmente, ya que es difícil insertar dinámicamente el atributo nonce="value" en las etiquetas de script y estilo cada vez que se recarga la página.
Sin embargo, para el servidor web Nginx existe una solución mediante un filtro de servidor ( ngx_http_sub_module o ngx_http_substitutions_filter_module ).
En el HTML estático, usa alguna "cadena única":
<script nonce="@@=AAABBBCCCZZZ=@@"></script>que se reemplaza por el filtro del servidor a un valor generado por el servidor ($request_id):
location / { subs_filter @@=AAABBBCCCZZZ=@@ $request_id; }Pero estos módulos pueden no estar integrados en el servidor Nginx de forma predeterminada y debe reconstruir el servidor.
- ¿Es mejor proporcionar hash de todos los scripts y estilos requeridos que nonce para tal caso?
El 'hashe-value' usa principalmente en SPA (aplicaciones de una sola página) donde no tiene la posibilidad de actualizar el valor nonce . Pero es difícil administrar CSP con muchos hashes cuando cambia el código y necesita reemplazar algunos hashes por otros nuevos.
Por lo tanto, en el caso de la representación del lado del servidor, el 'nonce value' se usa con más frecuencia. Además 'nonce value' se puede usar no solo para scripts en línea, sino también para scripts externos.
También vea el comentario sobre los marcos JS a continuación: estos pueden ser incompatibles con 'nonce-value' o 'hash-value' .
- Si refactorizo el código para todo el HTML para eliminar todas las secuencias de comandos en línea de la etiqueta del cuerpo y agrego el código en una sola etiqueta de secuencia de comandos en la cabeza, ¿eso significa que se eliminan las secuencias de comandos en línea?
Negativo. CSP cuenta como secuencias de comandos en línea no solo las etiquetas <script> sino también los controladores de eventos de etiquetas integradas como <button onClick='...'> y el tipo de navegación javascript de <a href='void(0)'> .
Además, algunos marcos JS como jQuery requieren 'unsafe-inline' o 'unsafe-eval' obligatorios y pueden ser incompatibles con 'nonce-value' o 'hash-value' .
jQuery es compatible con 'nonce-value' desde v3.5.0 . Pero jQuery apenas es compatible con un 'hash-value' debido a que genera dinámicamente el script principal y lo inserta en la sección <head> .