摘要:它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值,瀏覽器就可以檢查實(shí)際下載的文件是否與預(yù)期的哈希值匹配。網(wǎng)上也有現(xiàn)成的哈希值生成器,方便好用與你可以使用內(nèi)容安全政策強(qiáng)制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用。
出于速度和降低服務(wù)器負(fù)載考慮,有時(shí)候我們會(huì)選擇使用 CDN 加載第三方靜態(tài)資源。對于一些熱門的第三方庫,在用戶打開你的網(wǎng)頁之前就很有可能在瀏覽別的網(wǎng)站時(shí)被瀏覽器緩存下來,這樣就可以極大的提升網(wǎng)頁加載速度。
然而使用 CDN 也提高了網(wǎng)站的安全風(fēng)險(xiǎn):第三方靜態(tài)資源放在第三方服務(wù)器上,CDN 的擁有者有沒有可能偷偷的篡改這些文件,加入惡意代碼呢?或者 CDN 服務(wù)器遭受了黑客攻擊,整個(gè)文件被替換掉。雖然可能性不高,但不是零。JavaScript 對于當(dāng)前瀏覽器頁面有完全控制權(quán),他們不僅僅能獲取到頁面上的任何內(nèi)容,還能抓取用戶輸入的一些諸如密碼之類的機(jī)密信息,還能獲取到保存到 Cookie 中的登錄票據(jù)等等內(nèi)容,這就是所謂的 XSS 攻擊。
我們需要一種機(jī)制確保從 CDN 下載的文件未被惡意篡改。某些下載網(wǎng)站就提供下載文件的 MD5 或 SHA1 碼用于檢查所下載文件的完整性,網(wǎng)頁中有沒有類似的機(jī)制呢?
什么是 SRI子資源完整性 Subresource Integrity 簡稱 SRI 是一種安全機(jī)制,它用于讓瀏覽器檢查所下載的來自第三方的資源(例如 CDN)未被惡意篡改。它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值,瀏覽器就可以檢查實(shí)際下載的文件是否與預(yù)期的哈希值匹配。
使用 SRI只需給 script 或 style 標(biāo)簽添加 integrity 屬性即可。例如:
JavaScript
CSS
integrity 屬性值以 shaXXX- 開頭,表示后面的哈希值使用的哈希算法,目前只允許 sha256、sha384 或 sha512 這三種哈希算法,以 sha384 比較多見。后面跟對應(yīng)的哈希值即可。
值得注意的是,因?yàn)閱⒂?SRI 需要獲取所下載文件的內(nèi)容進(jìn)行計(jì)算,所以需要 CDN 服務(wù)器啟用跨域資源訪問(CORS)支持,即返回 Access-Control-Allow-Origin: * 頭。客戶端需要使用跨域的形式加載指定文件,即添加 crossorigin="anonymous" 屬性。就我所知,目前國內(nèi)相對常用的免費(fèi) CDN bootcdn 已經(jīng)支持 CORS,百度靜態(tài) CDN 還不支持。
瀏覽器如何處理 SRI當(dāng)瀏覽器遇到一個(gè)帶有 integrity 的 script 或 style 標(biāo)簽,在執(zhí)行其中的 JS 腳本或應(yīng)用其中的 CSS 樣式之前,瀏覽器會(huì)首先計(jì)算所下載文件的內(nèi)容的哈希值是否與 integrity 屬性給定的值相同。
如果計(jì)算結(jié)果與給定值不匹配,瀏覽器會(huì)拒絕執(zhí)行腳本內(nèi)容,并報(bào)出一個(gè)網(wǎng)絡(luò)錯(cuò)誤,類似如下結(jié)果:
Failed to find a valid digest in the "integrity" attribute for resource "https://cdnjs.cloudflare.com/ajax/libs/normalize/6.0.0/normalize.min.css" with computed SHA-256 integrity "VbcxqgMGQYm3q8qZMd63uETHXXZkqs7ME1bEvAY1xK8=". The resource has been blocked.如何計(jì)算哈希值
這是 SRI 標(biāo)準(zhǔn)文檔提供的例子:
$ echo -n "alert("Hello, world.");" | openssl dgst -sha384 -binary | openssl base64 -A
使用了 OpenSSL 這個(gè) *nix 中通常都包含的工具計(jì)算哈希值。其中 alert("Hello, world."); 是文件內(nèi)容,你也可以用 cat Filename.js 直接讀取某個(gè)文件。
輸出 H8BRh8j48O9oYatfu5AZzq6A9RINhZO5H16dQZngK7T62em8MUt1FLm52t+eX6xO,在此基礎(chǔ)上添加前綴 sha384- 就可以了。
網(wǎng)上也有現(xiàn)成的 SRI 哈希值生成器,方便好用:https://srihash.org/
CSP 與 SRI你可以使用 內(nèi)容安全政策 (CSP)強(qiáng)制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用 SRI。例如
Content-Security-Policy: require-sri-for script;
強(qiáng)制要求所有 script 標(biāo)簽啟用 SRI,瀏覽器會(huì)拒絕加載未啟用 SRI 的 script 標(biāo)簽。
對應(yīng)的還有 CSS 版本:
Content-Security-Policy: require-sri-for style;
你也可以同時(shí)啟用兩者。
錯(cuò)誤恢復(fù)使用 CDN 時(shí)別忘了當(dāng)嘗試從 CDN 加載文件失敗后加載本地版本:
")完
文章版權(quán)歸作者所有,未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為,您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址:http://specialneedsforspecialkids.com/yun/11283.html
摘要:它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值,瀏覽器就可以檢查實(shí)際下載的文件是否與預(yù)期的哈希值匹配。網(wǎng)上也有現(xiàn)成的哈希值生成器,方便好用與你可以使用內(nèi)容安全政策強(qiáng)制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用。 出于速度和降低服務(wù)器負(fù)載考慮,有時(shí)候我們會(huì)選擇使用 CDN 加載第三方靜態(tài)資源。對于一些熱門的第三方庫,在用戶打開你的網(wǎng)頁之前就很有可能在瀏覽別的網(wǎng)站時(shí)被瀏...
摘要:它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值,瀏覽器就可以檢查實(shí)際下載的文件是否與預(yù)期的哈希值匹配。網(wǎng)上也有現(xiàn)成的哈希值生成器,方便好用與你可以使用內(nèi)容安全政策強(qiáng)制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用。 出于速度和降低服務(wù)器負(fù)載考慮,有時(shí)候我們會(huì)選擇使用 CDN 加載第三方靜態(tài)資源。對于一些熱門的第三方庫,在用戶打開你的網(wǎng)頁之前就很有可能在瀏覽別的網(wǎng)站時(shí)被瀏...
摘要:它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值,瀏覽器就可以檢查實(shí)際下載的文件是否與預(yù)期的哈希值匹配。網(wǎng)上也有現(xiàn)成的哈希值生成器,方便好用與你可以使用內(nèi)容安全政策強(qiáng)制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用。 出于速度和降低服務(wù)器負(fù)載考慮,有時(shí)候我們會(huì)選擇使用 CDN 加載第三方靜態(tài)資源。對于一些熱門的第三方庫,在用戶打開你的網(wǎng)頁之前就很有可能在瀏覽別的網(wǎng)站時(shí)被瀏...
摘要:與攻擊相比,攻擊往往很少見,因此對其進(jìn)行防范的資源也相當(dāng)稀少。不過,這種受信任的攻擊模式更加難以防范,所以被認(rèn)為比更具危險(xiǎn)性。通過實(shí)時(shí)升級(jí)系統(tǒng)快速同步最新漏洞,避免零日攻擊。 現(xiàn)在,我們絕大多數(shù)人都會(huì)在網(wǎng)上購物買東西。但是很多人都不清楚的是,很多電商網(wǎng)站會(huì)存在安全漏洞。比如烏云就通報(bào)過,國內(nèi)很多家公司的網(wǎng)站都存在 CSRF 漏洞。如果某個(gè)網(wǎng)站存在這種安全漏洞的話,那么我們在購物的過程中...
閱讀 3142·2021-10-08 10:04
閱讀 1080·2021-09-30 09:48
閱讀 3449·2021-09-22 10:53
閱讀 1664·2021-09-10 11:22
閱讀 1682·2021-09-06 15:00
閱讀 2142·2019-08-30 15:56
閱讀 704·2019-08-30 15:53
閱讀 2273·2019-08-30 13:04