L'intégrité des sous-ressources est une fonctionnalité de sécurité qui permet aux navigateurs de vérifier que les ressources qu'ils récupèrent sont fournies sans manipulation inattendue. Elle fonctionne en fournissant un hachage cryptographique auquel la ressource récupérée doit correspondre. Cela est particulièrement important pour le contenu fourni via des CDN ou d'autres hôtes tiers.
Subresource Integrity (SRI) est une fonctionnalité du navigateur qui vous permet de figer un script ou une feuille de style sur un hash cryptographique. Vous ajoutez un attribut integrity contenant le hash attendu à la balise script ou link ; le navigateur télécharge la ressource, la hache et refuse de l'exécuter si le hash ne correspond pas. Cela garantit qu'un fichier chargé depuis un CDN ou un tiers est, octet pour octet, la version que vous avez approuvée.
Le SRI est excellent contre un fichier statique altéré : si un attaquant modifie une bibliothèque hébergée, le hash ne correspond plus et le navigateur la bloque. Mais il ne fonctionne que pour les ressources qui ne changent pas. De nombreux scripts tiers sont conçus pour se mettre à jour fréquemment ou sont générés à chaque requête, et vous ne pouvez pas figer un hash sur une cible mouvante. Le SRI ne fait rien non plus une fois qu'un script se charge légitimement puis se comporte de façon malveillante à l'exécution.
Le SRI est une première couche solide pour les dépendances statiques que vous pouvez hacher, et PCI DSS le mentionne comme l'une des techniques acceptables. Pour les scripts dynamiques que le SRI ne peut pas couvrir, cside ajoute une inspection à l'exécution, en analysant ce que fait chaque script sur la page et en bloquant les comportements malveillants, de sorte que vos dépendances figées comme celles que vous ne pouvez pas figer soient prises en compte.
Parce que le SRI exige un hash fixe, et de nombreux scripts tiers changent à chaque chargement ou se mettent à jour sans prévenir. Leur figer un hash casserait le script dès que le fournisseur publierait une nouvelle version. Le SRI convient aux fichiers statiques et versionnés ; il ne convient pas aux fichiers dynamiques.
Le SRI peut satisfaire le volet intégrité de l'exigence pour les scripts statiques, mais les exigences 6.4.3 et 11.6.1 de PCI DSS attendent aussi que vous inventoriiez les scripts et surveilliez les modifications non autorisées sur l'ensemble d'entre eux, y compris les scripts dynamiques que le SRI ne peut pas figer. C'est un outil parmi d'autres, pas la réponse complète.
We answer client-side security questions every day. Bring yours.