A-1セキュリティ実装技術・評価 · セキュア開発・実装

CSP（Content Security Policy）

Content Security Policy

しーえすぴー

Webページが読み込んでよいスクリプトや画像などの取得元を、Content-Security-PolicyレスポンスヘッダでWebブラウザに指示する仕組み。許可していない取得元のスクリプトやインラインスクリプトの実行をブラウザが拒否するため、XSSの脆弱性が残っていても被害を抑えられる。nonceやハッシュ値で個別のスクリプトの実行を許可する方式もある。

#XSS対策 #HTTPヘッダ #Webセキュリティ

共有:

他の資格での定義

SCContent Security Policy（CSP）

Webブラウザに対して、ページ内で読み込み可能なリソースの提供元を制限するHTTPレスポンスヘッダ。スクリプト、スタイルシート、画像などのリソース種別ごとに許可するオリジンを指定でき、XSS攻撃やデータインジェクション攻撃の影響を軽減する。

関連キーワードの用語

A-1CORS（オリジン間リソース共有）

Webブラウザの同一オリジンポリシーで制限されている、異なるオリジン（スキーム・ホスト・ポートの組）からのリソース取得を、サーバ側の許可に基づいて例外的に認める仕組み。サーバはAccess-Control-Allow-OriginなどのHTTPレスポンスヘッダで許可するオリジンを示し、ブラウザがそれを確認する。要求元のオリジンを無条件に許可して資格情報付きのアクセスを認めるといった設定不備は、他サイトからの情報窃取につながる。

A-1HSTS（HTTP Strict Transport Security）

WebサーバがStrict-Transport-Securityレスポンスヘッダを返し、以後の一定期間（max-age）はそのドメインにHTTPSでしか接続しないようブラウザに指示する仕組み。利用者がhttp://で始まるURLを入力してもブラウザが自動的にHTTPSに切り替えるため、SSLストリッピングなどの中間者攻撃を防げる。初回接続時の弱点は、ブラウザに組み込まれたHSTSプリロードリストで補う。

PD-SSame Origin Policy

Webブラウザが、あるオリジン（スキーム、ホスト、ポート番号の組）から読み込んだスクリプトに、異なるオリジンの資源の内容を読み取らせない制限。悪意のあるサイトのスクリプトが、利用者がログインしている別のサイトの情報を盗み見ることを防ぐ。異なるオリジンからの読取りが必要なときは、サーバがCORSで許可するオリジンをレスポンスヘッダで示す。