Content Security Policy is een browserbeveiligingsmechanisme dat helpt om verschillende soorten aanvallen te voorkomen, waaronder Cross-Site Scripting (XSS) en andere code-injectieaanvallen. CSP werkt door te specificeren welke contentbronnen de browser als geldig moet beschouwen, en controleert alles van scriptuitvoering tot het laden van afbeeldingen. Het biedt gedetailleerde controle over het laden van bronnen en helpt een strikte beveiligingsgrens rond webapplicaties te handhaven.
Een Content Security Policy is een HTTP-responseheader, of meta-tag, die de browser vertelt welke bronnen van scripts, stijlen, afbeeldingen en andere resources op een pagina mogen laden. Door een toegestane lijst te declareren, kan een CSP inline scripts en niet-vertrouwde domeinen blokkeren, wat de impact van cross-site scripting en het laden van ongeautoriseerde resources beperkt. Het is een door de browser afgedwongen defense-in-depth-maatregel, geen op zichzelf staand beveiligingsproduct.
Een CSP bepaalt vanwaar scripts mogen laden, niet wat ze doen zodra ze geladen zijn. Als je een third-party leverancier toestaat en die leverancier wordt gecompromitteerd, blijft de browser het kwaadaardige script vertrouwen en voert het uit. CSP's zijn ook lastig te onderhouden: unsafe-inline, brede wildcards en lange toegestane lijsten sluipen erin om functionaliteit niet te breken, waardoor de bescherming stilletjes wordt uitgehold, en report-only-modus plus alertmoeheid zorgen ervoor dat overtredingen vaak onopgemerkt blijven.
cside pakt precies het gat aan dat een CSP laat: het inspecteert het gedrag van de toegestane scripts die een CSP doorlaat. Wanneer een vertrouwd script kaartvelden begint te lezen of een nieuw domein contacteert, markeert cside het en kan het blokkeren, ongeacht het oordeel van de CSP. Samen gebruikt beperkt een CSP welke scripts kunnen laden en verifieert cside dat de scripts die wel laden eerlijk blijven.
Nee. Een CSP beperkt de bronnen van scripts, maar kan niet zien of een toegestaan script is gemanipuleerd. PCI DSS 6.4.3 en 11.6.1 verwachten dat je zowel beheert welke scripts draaien als hun integriteit en gedrag monitort; die tweede helft is wat een CSP niet biedt.
De policy verzwakken om breuk te voorkomen, door unsafe-inline, wildcardbronnen of een lange lijst met third-party domeinen toe te voegen, totdat het niets betekenisvols meer beperkt. Een permissieve CSP kan een vals gevoel van veiligheid geven terwijl het het meeste doorlaat van wat het zou moeten blokkeren.
We answer client-side security questions every day. Bring yours.