成人无码视频,亚洲精品久久久久av无码,午夜精品久久久久久毛片,亚洲 中文字幕 日韩 无码

資訊專欄INFORMATION COLUMN

使用SRI保護你的網(wǎng)站免受第三方CDN惡意攻擊

Me_Kun / 834人閱讀

摘要：它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值，瀏覽器就可以檢查實際下載的文件是否與預(yù)期的哈希值匹配。網(wǎng)上也有現(xiàn)成的哈希值生成器，方便好用與你可以使用內(nèi)容安全政策強制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用。

出于速度和降低服務(wù)器負載考慮，有時候我們會選擇使用 CDN 加載第三方靜態(tài)資源。對于一些熱門的第三方庫，在用戶打開你的網(wǎng)頁之前就很有可能在瀏覽別的網(wǎng)站時被瀏覽器緩存下來，這樣就可以極大的提升網(wǎng)頁加載速度。

然而使用 CDN 也提高了網(wǎng)站的安全風(fēng)險：第三方靜態(tài)資源放在第三方服務(wù)器上，CDN 的擁有者有沒有可能偷偷的篡改這些文件，加入惡意代碼呢？或者 CDN 服務(wù)器遭受了黑客攻擊，整個文件被替換掉。雖然可能性不高，但不是零。JavaScript 對于當(dāng)前瀏覽器頁面有完全控制權(quán)，他們不僅僅能獲取到頁面上的任何內(nèi)容，還能抓取用戶輸入的一些諸如密碼之類的機密信息，還能獲取到保存到 Cookie 中的登錄票據(jù)等等內(nèi)容，這就是所謂的 XSS 攻擊。

我們需要一種機制確保從 CDN 下載的文件未被惡意篡改。某些下載網(wǎng)站就提供下載文件的 MD5 或 SHA1 碼用于檢查所下載文件的完整性，網(wǎng)頁中有沒有類似的機制呢？

什么是 SRI

子資源完整性 Subresource Integrity 簡稱 SRI 是一種安全機制，它用于讓瀏覽器檢查所下載的來自第三方的資源（例如 CDN）未被惡意篡改。它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值，瀏覽器就可以檢查實際下載的文件是否與預(yù)期的哈希值匹配。

使用 SRI

只需給 script 或 style 標(biāo)簽添加 integrity 屬性即可。例如：

JavaScript



CSS




integrity 屬性值以 shaXXX- 開頭，表示后面的哈希值使用的哈希算法，目前只允許 sha256、sha384 或 sha512 這三種哈希算法，以 sha384 比較多見。后面跟對應(yīng)的哈希值即可。


值得注意的是，因為啟用 SRI 需要獲取所下載文件的內(nèi)容進行計算，所以需要 CDN 服務(wù)器啟用跨域資源訪問（CORS）支持，即返回 Access-Control-Allow-Origin: * 頭?？蛻舳诵枰褂每缬虻男问郊虞d指定文件，即添加 crossorigin="anonymous" 屬性。就我所知，目前國內(nèi)相對常用的免費 CDN bootcdn 已經(jīng)支持 CORS，百度靜態(tài) CDN 還不支持。

瀏覽器如何處理 SRI


當(dāng)瀏覽器遇到一個帶有 integrity 的 script 或 style 標(biāo)簽，在執(zhí)行其中的 JS 腳本或應(yīng)用其中的 CSS 樣式之前，瀏覽器會首先計算所下載文件的內(nèi)容的哈希值是否與 integrity 屬性給定的值相同。


如果計算結(jié)果與給定值不匹配，瀏覽器會拒絕執(zhí)行腳本內(nèi)容，并報出一個網(wǎng)絡(luò)錯誤，類似如下結(jié)果：



Failed to find a valid digest in the "integrity" attribute for resource "https://cdnjs.cloudflare.com/ajax/libs/normalize/6.0.0/normalize.min.css" with computed SHA-256 integrity "VbcxqgMGQYm3q8qZMd63uETHXXZkqs7ME1bEvAY1xK8=". The resource has been blocked.

如何計算哈希值

這是 SRI 標(biāo)準(zhǔn)文檔提供的例子：


$ echo -n "alert("Hello, world.");" | openssl dgst -sha384 -binary | openssl base64 -A


使用了 OpenSSL 這個 *nix 中通常都包含的工具計算哈希值。其中 alert("Hello, world."); 是文件內(nèi)容，你也可以用 cat Filename.js 直接讀取某個文件。


輸出 H8BRh8j48O9oYatfu5AZzq6A9RINhZO5H16dQZngK7T62em8MUt1FLm52t+eX6xO，在此基礎(chǔ)上添加前綴 sha384- 就可以了。


網(wǎng)上也有現(xiàn)成的 SRI 哈希值生成器，方便好用：https://srihash.org/

CSP 與 SRI

你可以使用 內(nèi)容安全政策 （CSP）強制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用 SRI。例如


Content-Security-Policy: require-sri-for script;


強制要求所有 script 標(biāo)簽啟用 SRI，瀏覽器會拒絕加載未啟用 SRI 的 script 標(biāo)簽。


對應(yīng)的還有 CSS 版本：


Content-Security-Policy: require-sri-for style;


你也可以同時啟用兩者。

錯誤恢復(fù)

使用 CDN 時別忘了當(dāng)嘗試從 CDN 加載文件失敗后加載本地版本：


")

完           
               
                                           
                       
                 

            
                     
             
               

                   
 文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

                 
                   
轉(zhuǎn)載請注明本文地址：http://m.hztianpu.com/yun/51300.html

               

                      
               
              

              

                
相關(guān)文章

                
    
                             
                                                                                                    
  • 
                                                
    
                          
    使用SRI保護你的網(wǎng)站免受第三方CDN惡意攻擊
    
                                                     
    摘要：它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值，瀏覽器就可以檢查實際下載的文件是否與預(yù)期的哈希值匹配。網(wǎng)上也有現(xiàn)成的哈希值生成器，方便好用與你可以使用內(nèi)容安全政策強制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用。

出于速度和降低服務(wù)器負載考慮，有時候我們會選擇使用 CDN 加載第三方靜態(tài)資源。對于一些熱門的第三方庫，在用戶打開你的網(wǎng)頁之前就很有可能在瀏覽別的網(wǎng)站時被瀏...
    
                                                   
                          
    
                                
    
                                    番茄西紅柿
                                    
                                    評論0 
                                    收藏0 
                                
    
                          
    
                      
    
                    
    •  
                                                                                       
  • 
                                                
    
                          
    使用SRI保護你的網(wǎng)站免受第三方CDN惡意攻擊
    
                                                     
    摘要：它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值，瀏覽器就可以檢查實際下載的文件是否與預(yù)期的哈希值匹配。網(wǎng)上也有現(xiàn)成的哈希值生成器，方便好用與你可以使用內(nèi)容安全政策強制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用。

出于速度和降低服務(wù)器負載考慮，有時候我們會選擇使用 CDN 加載第三方靜態(tài)資源。對于一些熱門的第三方庫，在用戶打開你的網(wǎng)頁之前就很有可能在瀏覽別的網(wǎng)站時被瀏...
    
                                                   
                          
    
                                
    
                                    jindong
                                    
                                    評論0 
                                    收藏0 
                                
    
                          
    
                      
    
                    
    •  
                                                                                       
  • 
                                                
    
                          
    使用SRI保護你的網(wǎng)站免受第三方CDN惡意攻擊
    
                                                     
    摘要：它使用哈希值檢查確保第三方資源的完整性。只要開發(fā)者提供了被需下載資源的哈希值，瀏覽器就可以檢查實際下載的文件是否與預(yù)期的哈希值匹配。網(wǎng)上也有現(xiàn)成的哈希值生成器，方便好用與你可以使用內(nèi)容安全政策強制要求當(dāng)前頁面所有腳本加載標(biāo)簽啟用。

出于速度和降低服務(wù)器負載考慮，有時候我們會選擇使用 CDN 加載第三方靜態(tài)資源。對于一些熱門的第三方庫，在用戶打開你的網(wǎng)頁之前就很有可能在瀏覽別的網(wǎng)站時被瀏...
    
                                                   
                          
    
                                
    
                                    Jason_Geng
                                    
                                    評論0 
                                    收藏0 
                                
    
                          
    
                      
    
                    
    •  
                                                                                       
  • 
                                                
    
                          
    電商安全無小事，如何有效地抵御 CSRF 攻擊？
    
                                                     
    摘要：與攻擊相比，攻擊往往很少見，因此對其進行防范的資源也相當(dāng)稀少。不過，這種受信任的攻擊模式更加難以防范，所以被認為比更具危險性。通過實時升級系統(tǒng)快速同步最新漏洞，避免零日攻擊。

現(xiàn)在，我們絕大多數(shù)人都會在網(wǎng)上購物買東西。但是很多人都不清楚的是，很多電商網(wǎng)站會存在安全漏洞。比如烏云就通報過，國內(nèi)很多家公司的網(wǎng)站都存在 CSRF 漏洞。如果某個網(wǎng)站存在這種安全漏洞的話，那么我們在購物的過程中...
    
                                                   
                          
    
                                
    
                                    趙連江
                                    
                                    評論0 
                                    收藏0 
                                
    
                          
    
                      
    
                    
    •  
                                                                           
                

              

              
               

                  
                  
發(fā)表評論

                   
               

              

                

                  
0條評論
   
                
 
                      

              

           

           
        

      
 
    

    
     

      
    

    
    

    
       
       

         
閱讀需要支付1元查看
  
         
     
       

      
  
    
    












<