Mozilla gaat internet tegen XSS beschermen
Cross-site scripting (XSS) is al jaren de meest voorkomende kwetsbaarheid in websites, reden genoeg voor de Mozilla stichting om een technologie te ontwikkelen die het probleem aanpakt. De opensource ontwikkelaar is het laatste jaar al bezig met de Content Security Policy (CSP), die ervoor zorgt dat sites de browser kunnen vertellen welke content legitiem is. De browser kan dan alle content die niet de goedkeuring van de site heeft, negeren. De eigenaar van een website kan via CSP bepalen vanaf welke domeinen scripts zijn toegestaan. De browser zal vervolgens alleen de scripts van de toegestane websites uitvoeren, die in een whitelist worden bijgehouden.
Om legitieme content van andere geïnjecteerde of aangepaste content te herkennen, vereist CSP dat alle JavaScript voor een pagina uit een extern bestand wordt geladen en van een goedgekeurde host afkomstig is. Dit betekent dat alle inline script, JavaScript en event-handling HTML attributen worden genegeerd. Alleen scripts die via een script-tag zijn toegevoegd en verwijzen naar een gewhiteliste host zal de browser uitvoeren. "We beseffen dat dit model drastisch verschilt van het huidige vrije model voor het web", zegt Brandon Sterne, Mozilla's Security Program Manager. De ontwikkelaar hoopt de uitrol van CSP in fasen door te voeren, waarbij er later dit jaar van een "volledige implementatie" sprake is.
Lastiger
Volgens Sterne hebben XSS-kwetsbaarheden echte waarde voor aanvallers en worden die vaak snel via het internet uitgewisseld zodra ze bekend zijn. "Websites kunnen weer iets rustiger ademen als ze weten dat hun gebruikers beschermd zijn, zelfs als een XSS-bug er doorheen slipt." CSP is namelijk zo in te stellen dat het de beschermde website informeert als er een aanval plaatsvindt. Daarnaast profiteren zelfs gebruikers met een oude browser ervan. "Het komt erop neer dat het extreem lastig is om een XSS-aanval tegen een website met CSP uit te voeren. Alle bekende vectoren voor het injecteren van scripts zullen niet meer werken en de lat voor het uitvoeren van een succesvolle aanval wordt veel, veel hoger gelegd."
Het is de taak aan de developer om de scripts veilig te maken en niet aan de fabrikant van de browser.
en negeer je dat als ontwikkelaar van de website: Wie zijn billen brand, moet op de blaren zitten.
Dat is dus heel goed nieuws, en helemaal in lijn met Graceful degradation en progressive enhancement.
Alleen zie ik hier wel een ander probleem in.
Soms heb je te maken met inline JavaScript voor dingen die door de pagina zelf worden bepaald, zoals formulier validatie.
Maar ook dit is simpel op te lossen door die validaties weg te werken in een eigen Domain. Zo wie zo geen gek idee.
De validatie types kan je encapsulaten in een eigen Class.
Op deze manier leren mensen ook is hoe je echt een website maakt en niet met die achterlijke 'Je moet JavaScrip' ingeschakeld hebben hiervoor' manier... alleen omdat je het dan in PHP direct kan doen om je niet 'hoeven' verdiepen in hoe JavaScript werkt?! Leer gewoon hoe het moet. Het is heus niet zo moeilijk.
- Sebastiaan Stok
Dit is helaas niet waar; ook zonder punthaken en procenttekens is XSS zeker wel mogelijk
Greetingz,
Jacco
Dus wat je probleem nu precies is ontgaat mij.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
