Яндекс

Что дает CSP

• Помогает отлавливать и блокировать некоторые виды атак XSS
• Ещё один уровень в защите на стороне фронтенда
• Отчеты

Немного истории

• Разработан в Mozilla Foundation
• Впервые появился в Firefox 4 (март 2011 года)

Поддержка браузерами

• Chrome 25+ Firefox 23+ Opera 15+ Safari 7+
• Android 4.4+
• IE 10+ Firefox 4-22:
  • поддерживают нестандартный заголовок X-Content-Security-Policy и имеют частичную поддержку стандартного

• Chrome 14-24, Safari 5-7:
  • поддерживают нестандартный заголовок X-Webkit-CSP и имеют частичную поддержку стандартного.

Заголовки

• Content-Security-Policy: <политика>
• Content-Security-Policy-Report-Only: <политика>
• X-Content-Security-Policy - для IE10+ и старых браузеров

Ключевые слова

• 'self' - текущий хост
• 'none' - ничего нельзя
• 'unsafe-inline'
• 'unsafe-eval'

для Lo-Dash нужен unsafe-eval, он активно использует кодогенерацию

unsafe-inline

	<script>
	    alert('knock knock')
	</script>

	<a onclick="alert('knock knock')">link</a>

Пример

	{
	    "csp-report": {
	        "document-uri": "http://localhost:3000/",
	        "referrer": "",
	        "violated-directive": "default-src \"self\"",
	        "effective-directive": "img-src",
	        "original-policy": "default-src \"self\";
	        	report-uri http://localhost:3000",
	        "blocked-uri": "https://yastatic.net",
	        "status-code": 200
	    }
	}
	

CSP 2.0

• Chrome 36+, FF 31+
• Можно указывать не только домены, но и пути

• Отчет стал подробнее
• Политику можно указывать в <meta>
• Разрешение инлайн скриптов через nonce- или hash-
• Больше директив. form-action, plugin-types, frame-ancestors

План внедрения

1. Оценка списка загружаемых ресурсов.
2. Внедрение заголовка Content-Security-Policy-Report-Only.
3. Анализ логов.
4. Исправление политики.
5. Внедрение заголовка Content-Security-Policy (переход в режим блокировки).
6. Счастье пользователей :)

Советы

• Использовать одновременно Content-Security-Pocily и Report-Only

• Комментировать политику
• default-src: 'none' - По умолчанию ничего нельзя
• CSP не распространяется на дочерние фреймы
• Не использовать ' * '