Güvenilmeyen bir ana bilgisayardan komut dosyasının karma değerini belirleme

Question

< komut dosyası> etiketinin bir öznitelikinde bir sağlama veya imza eklenmesi için herhangi bir uygulama veya belirtim var mı, böylece tarayıcı, yürütmeden önce doğru dosyanın alındığını doğrulayabilir ? gibi bir şey: Genellikle, her bir ek CDN veya sitenizin güvenliğini ihlal etmesine kesmek olabilir yeni bir hedef ekleyerek şablonu açığını artırır siteniz için kullanmak barındırmak:

<script 
    src="http://cdn.example.com/jquery-2001.js" 
    signature="sha-256/e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855" 
></script> 

motivasyon budur. Birincil ön uç sunucularınızın bu dosyaların karmalarını veya imzalarını göstermesine izin vermek, bu riski tamamen ortadan kaldırarak, mimarinizi tasarlarken daha esnek olmanızı sağlar. Güvenilmeyen eşler arası ağdaki eksik dosyaları bile talep edebilirsiniz.

Bu konuda bir özellik hatırladım, ancak bulamadık. karma onu, (CORS'yi varsayarak yapılandırılmış)

Ancak https://developer.mozilla.org/en-US/docs/Web/HTML/Element/script

, her zaman XHR'nin aracılığıyla bir kaynak getir olabilir ve eğer:

Answer 1

Bu özellik W3C tarafından Subresource Integrity olarak önerilmiştir. Aralık 2015 itibariyle, bu öneri by Chrome 44 ve Firefox 43 uygulanmıştır.

Örnek 1

<link rel="stylesheet" href="https://site53.example.net/style.css" 
     integrity="sha256-vjnUh7+rXHH2lg/5vDY8032ftNVCIEC21vL6szrVw9M=" 
     crossorigin="anonymous"> 

var a superficially similar feature in Content Security Policy Level 2, ancak sadece inline <script> ve <style> elemanlarının değil, dış olanlar içeriğini kısıtlar.

Answer 2

Öyle görünmüyor Mozilla Geliştirici Ağı docs göre desteklenir Bu harika, eval(). Bununla birlikte, ilginç bir teknik egzersiz yaparken pratik görünmüyor.

Answer 3

FWIW, bugün bir MDN page for Subresource Integrity (buradaki yanıt burada açıklanan) oluşturdum. Ayrıca ilgili: A CDN that can not XSS you: Using Subresource Integrity, Frederik Braun (Subresource Integrity spec'ın yardımcı editörü) ile birlikte burada yer alan sorunla ilgili daha ayrıntılı bilgilere ve ayrıca Subresource Integrity özelliğinin bu soruna nasıl hitap ettiğini açıklamaktadır.