CSPでサードパーティースクリプトを律する
はじめに Legalscapeの顧客の中には、情報セキュリティー等の理由から社内ネットワークからの通信の宛先を制限している組織もたくさんいます。 そのためLegalscapeでは、プロダクトの動作に必要な第三者リソースの一覧を管理し、Legalscapeの導入時にはそれらのドメイン名への接続を許可するようにお願いしてきました。 しかし、現代のWeb開発は、第三者リソースが利用可能であることを暗に期待しがちです。開発者がLegalscapeの顧客背景をよく知らずに新しい依存を導入してしまうことも考えられます。またさらに厄介なのが間接依存の増加です。実際に、firebase packageの更新によって内部で呼び出しているAPIのエンドポイントが変化し、開発者が知らないうちに接続先が変わっていたということが判明しています。[1] そこで私は、CSPを使うことでサードパーティースクリプトやAPI
CSPの仕様に report-sample が追加された - ASnoKaze blog
まだ、WIPではあるもののCSPの仕様に "report-sample" と言う機能が追加されました(URL)。 これは、違反したインラインのScriptやStyleの最初の40文字がレポートに追加されます。外部ファイルの場合はレポートされません。昨年から議論がされていましたが、もともとはFirefoxに以前実装されていたscript-sampleプロパティと同等の機能ですが、Styleも対象になります。 これにより、今までレポートは送られてくるもの攻撃なのかそうじゃないのか分からなかったというケースが、多少なりとも少なくなるのではないだろうか。 すでに、Chromeへの実装が進められています(URL) report-sample 普通のCSPと同様に、HTTPヘッダもしくはmetaタグで report-sampleを指定します。 Content-Security-Policy: scri
CSP3のunsafe-dynamicとunsafe-hash-attributes - ASnoKaze blog
unsafe-dynamicは'strict-dynamic'という別ディレクティブとなりました (20160622) Content Security Policy Level 3のFirst Public Working Draftが1月に公開されました。 以前「まもなく公開される CSP Level3 の変更点」この記事で書いたように、CSP level 2から幾つかの変更点がありました。 また、メーリングリスト上では議論は続いており、Githubのリポジトリ( https://w3c.github.io/webappsec-csp/ )では編集が続いています。 その中で、「unsafe-dynamic」と「unsafe-hash-attributes」について軽くメモ書き。 unsafe-dynamic unsafe-dynamicキーワードは、インラインスクリプトを許可するuns
Knockout Secure Binding – Brian M Hunt
What is it? Knockout Secure Binding is a custom binding provider for Knockout. Why does it matter? The regular binding provider calls 1new Function , which throws an exception when you have a Content Security Policy that prohibits 1unsafe-eval . These security policies are mandatory in some circumstances, such as Chrome Web Apps. How does it work? At its core, KSB is two things: A parser that inte
2014-09-15のJS: JavaScriptエンジンの最適化、ビルドツールBroccoli
JSer.info #192 - 今週はnodeconfeuがあったのと、自分でも最適化についての記事を書いた影響でV8の最適化に関するものが多いです。 V8 Installation and d8 shell usage では、V8をビルドして起動オプションを使って最適化やトレースをする方法について分かりやすく紹介されています。 V8の最適化とIRHydraでの可視化とベンチマークについてのメモ では、Hidden Class等の著名な最適化がどうなると効かなくなるかをIRHydra2を使って見る方法等について書かれています。 V8の仕組みやプロファイリングについてはthlorenz/v8-perfに参考となる資料がまとめられていて、また同作者によるDemystifying v8 and JavaScript Performanceというスライドが公開されています。 (内容的にはv8-p
Hiding JSON-formatted data in the DOM with CSP enabled · Mathias Bynens
If Content Security Policy is enabled for protection against cross-site scripting attacks (i.e. the unsafe-inline option is not set), the use of inline <script>s is not allowed. In that case, how can we pass server-generated data to the front-end without negatively affecting load time and run-time performance? Introduction A common way to pass server-generated JSON-formatted data to the client so
Introducing Wire Protocol Buffers
EngineeringHijacking Amazon EventBridge for launching Cross-A...Securing the invisible paths: How cross-account event flows can become security ... Data ScienceRevamping Data Science InterviewsInterviews are not just about improving hiring outcomes - they are about strengt... EngineeringRoBERTa Model for Merchant Categorization at Squar...Harnessing Large Language Models to Deliver Accurate Busine
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - jklmnn/imagejs: Small tool to package javascript into a valid image file.
Build software better, together
Google Code Archive - Long-term storage for Google Code Project Hosting.
Intent to Ship: Long Task API - Google Groups