Subresource Integrity is een beveiligingsfunctie waarmee browsers kunnen verifiëren dat bronnen die ze ophalen worden geleverd zonder onverwachte manipulatie. Het werkt door een cryptografische hash te verstrekken waaraan een opgehaalde bron moet voldoen. Dit is bijzonder belangrijk voor content die via CDN's of andere third-party hosts wordt geleverd.
Subresource Integrity (SRI) is een browserfunctie waarmee je een script of stylesheet kunt vastzetten op een cryptografische hash. Je voegt een integrity-attribuut met de verwachte hash toe aan de script- of link-tag; de browser downloadt de resource, berekent de hash en weigert het uit te voeren als de hash niet overeenkomt. Het garandeert dat een bestand dat vanaf een CDN of derde partij wordt geladen, byte voor byte de versie is die je hebt goedgekeurd.
SRI is uitstekend tegen een gemanipuleerd statisch bestand: als een aanvaller een gehoste bibliotheek wijzigt, klopt de hash niet meer en blokkeert de browser het. Maar het werkt alleen voor resources die niet veranderen. Veel third-party scripts zijn ontworpen om vaak te updaten of worden per verzoek gegenereerd, en je kunt geen hash vastzetten op een bewegend doel. SRI doet ook niets zodra een script legitiem laadt en zich vervolgens tijdens runtime kwaadaardig gedraagt.
SRI is een sterke eerste laag voor de statische dependencies die je kunt hashen, en PCI DSS noemt het als een van de aanvaardbare technieken. Voor de dynamische scripts die SRI niet kan dekken, voegt cside runtime-inspectie toe, door te analyseren wat elk script op de pagina doet en kwaadaardig gedrag te blokkeren, zodat zowel je vastgezette als je niet-vastzetbare dependencies worden meegenomen.
Omdat SRI een vaste hash vereist, en veel third-party scripts bij elke lading veranderen of zonder waarschuwing updaten. Er een hash op vastzetten zou het script breken zodra de leverancier een nieuwe versie uitbrengt. SRI past bij statische, geversioneerde bestanden; het past niet bij dynamische.
SRI kan het integriteitsdeel van de eis voor statische scripts vervullen, maar PCI DSS 6.4.3 en 11.6.1 verwachten ook dat je scripts inventariseert en op ongeautoriseerde wijzigingen monitort over allemaal, inclusief de dynamische die SRI niet kan vastzetten. Het is één instrument in de set, niet het volledige antwoord.
We answer client-side security questions every day. Bring yours.