Mozilla gaat internet tegen XSS beschermen
Cross-site scripting (XSS) is al jaren de meest voorkomende kwetsbaarheid in websites, reden genoeg voor de Mozilla stichting om een technologie te ontwikkelen die het probleem aanpakt. De opensource ontwikkelaar is het laatste jaar al bezig met de Content Security Policy (CSP), die ervoor zorgt dat sites de browser kunnen vertellen welke content legitiem is. De browser kan dan alle content die niet de goedkeuring van de site heeft, negeren. De eigenaar van een website kan via CSP bepalen vanaf welke domeinen scripts zijn toegestaan. De browser zal vervolgens alleen de scripts van de toegestane websites uitvoeren, die in een whitelist worden bijgehouden.
Om legitieme content van andere geïnjecteerde of aangepaste content te herkennen, vereist CSP dat alle JavaScript voor een pagina uit een extern bestand wordt geladen en van een goedgekeurde host afkomstig is. Dit betekent dat alle inline script, JavaScript en event-handling HTML attributen worden genegeerd. Alleen scripts die via een script-tag zijn toegevoegd en verwijzen naar een gewhiteliste host zal de browser uitvoeren. "We beseffen dat dit model drastisch verschilt van het huidige vrije model voor het web", zegt Brandon Sterne, Mozilla's Security Program Manager. De ontwikkelaar hoopt de uitrol van CSP in fasen door te voeren, waarbij er later dit jaar van een "volledige implementatie" sprake is.
Lastiger
Volgens Sterne hebben XSS-kwetsbaarheden echte waarde voor aanvallers en worden die vaak snel via het internet uitgewisseld zodra ze bekend zijn. "Websites kunnen weer iets rustiger ademen als ze weten dat hun gebruikers beschermd zijn, zelfs als een XSS-bug er doorheen slipt." CSP is namelijk zo in te stellen dat het de beschermde website informeert als er een aanval plaatsvindt. Daarnaast profiteren zelfs gebruikers met een oude browser ervan. "Het komt erop neer dat het extreem lastig is om een XSS-aanval tegen een website met CSP uit te voeren. Alle bekende vectoren voor het injecteren van scripts zullen niet meer werken en de lat voor het uitvoeren van een succesvolle aanval wordt veel, veel hoger gelegd."
Het is de taak aan de developer om de scripts veilig te maken en niet aan de fabrikant van de browser.
en negeer je dat als ontwikkelaar van de website: Wie zijn billen brand, moet op de blaren zitten.
Dat is dus heel goed nieuws, en helemaal in lijn met Graceful degradation en progressive enhancement.
Alleen zie ik hier wel een ander probleem in.
Soms heb je te maken met inline JavaScript voor dingen die door de pagina zelf worden bepaald, zoals formulier validatie.
Maar ook dit is simpel op te lossen door die validaties weg te werken in een eigen Domain. Zo wie zo geen gek idee.
De validatie types kan je encapsulaten in een eigen Class.
Op deze manier leren mensen ook is hoe je echt een website maakt en niet met die achterlijke 'Je moet JavaScrip' ingeschakeld hebben hiervoor' manier... alleen omdat je het dan in PHP direct kan doen om je niet 'hoeven' verdiepen in hoe JavaScript werkt?! Leer gewoon hoe het moet. Het is heus niet zo moeilijk.
- Sebastiaan Stok
Dit is helaas niet waar; ook zonder punthaken en procenttekens is XSS zeker wel mogelijk
Greetingz,
Jacco
Dus wat je probleem nu precies is ontgaat mij.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.