Introduction - Content Security Policy
This documentation is outdated and available for historical reasons only. To learn how to enable strict Content Security Policy in your application, visit web.dev/strict-csp. Content Security Policy is a mechanism designed to make applications more secure against common web vulnerabilities, particularly cross-site scripting. It is enabled by setting the Content-Security-Policy HTTP response header
Microsoft EdgeからXSSフィルタが削除の見通し、研究者が疑問を提示 | マイナビニュース
Microsoftは7月25日(米国時間)に公開した「Announcing Windows 10 Insider Preview Build 17723 and Build 18204 - Windows Experience BlogWindows Experience Blogにおいて、Microsoft EdgeからXSSフィルタを廃止する予定だと伝えたが、この決定に関してセキュリティ研究者のScott Helme氏が「Edge removes XSS Filter」において疑問を提示している。 Announcing Windows 10 Insider Preview Build 17723 and Build 18204 - Windows Experience BlogWindows Experience Blog XSS (Cross Site Scripting; クロスサ
Google、XSS攻撃対策に支援ツール公開
Content Security Policy（CSP）の潜在力をフル活用してもらう目的で、XSS対策支援ツール「CSP Evaluator」「CSP Mitigator」を公開した。 Web上で横行するクロスサイトスクリプティング（XSS）攻撃の防止に役立ててもらおうと、米Googleが「Content Security Policy」（CSP）を活用した対策を支援するツールを発表した。 XSSは信頼されたWebアプリケーションに不正なスクリプトを仕込む攻撃で、そうした攻撃の阻止を目的とするCSPは主要Webブラウザにサポートされている。 ところがGoogleが10億あまりのドメインを分析した調査では、CSPポリシーの95％がXSS攻撃を防ぐ役に立っていないことが判明。これは開発者がホワイトリストで外部スクリプトの読み込みを許容している上位15のドメインのうち、14ものドメインでパターン
コンテンツ・セキュリティ・ポリシーを利用する（ng-csp）
セキュリティフレームワーク「CSP」による制限ポリシーを有効にした場合に、AngularJSでは特定のケースでエラーとなる。そのケースの内容と回避方法を解説する。 ← 前回 連載 INDEX 次回 → コンテンツ・セキュリティ・ポシリー（Content Security Policy：CSP）とは、クロスサイト・スクリプティング（XSS）に代表される、よくあるアプリへの攻撃を軽減するためのセキュリティフレームワークです。あらかじめ設定したポリシーによって、ブラウザー（アプリ）に制限を加えることで、アプリの安全性を高めます。制限できる主な事項には、以下のようなものがあります。 JavaScript疑似プロトコル（href="javascript:～"）の禁止 インラインのスクリプト／スタイルシートの禁止 インライン・イベントハンドラー（onclickなど）の禁止 eval関数をはじめ、Fun
Same Origin PolicyとCORSとCPS - kotaroito's notes
一度きちんと整理しておきたし。 オリジンとは URLのscheme, host, portによって定義される。以下、いずれも違うオリジンになる。 http://example.com https://example.com http://sub.example.com http://example.com:8080 同一生成元ポリシー 英語で言うと、Same Origin Policy。 http://www.w3.org/Security/wiki/Same_Origin_Policy を読むと、いきなり"There is no single same-origin policy." と書かれている。。。が、一般原則はある。 https://developer.mozilla.org/ja/docs/Web/JavaScript/Same_origin_policy_for_JavaSc
Firefoxの倒し方
This document summarizes Content Security Policy (CSP), a browser feature that helps mitigate cross-site scripting and other attacks. It discusses CSP's directives for controlling resource loading, browser support, syntax, and violation reporting. It also notes potential issues with abuse of CSP violation reports if not properly validated and formatted on the server-side.
XSSやCSRFリスクを軽減する、Entry Point Regulationとは - ASnoKaze blog
Entry Point Regulation とは 反射型XSS・XSSI・CSRFのリスクを軽減するユーザエージェント上の仕組みとして、W3CでEntry Point Regulationという仕様が策定中です。 Webアプリケーションの口(Entry Point)に幾つかの制限をかけることが出来ます。別オリジンからのリクエストの時に、クエリパラメータやHTTPリクエストボディ(POSTメソッド)が付いていればブロックする、と言った事がマニフェストで指示できるようになりそうです。 EPRにおけるリクエストカテゴリ 各エンドポイント(URL)はどのようなリクエストを受け付けることが可能か指定できます。その時に指定するリクエストは以下に分類されます navigational request：context frame typeは"top-level", "auxiliary", "neste
Google、Gmailで新しいセキュリティ仕様に対応
Content Security Policyでは不正な拡張機能やマルウェアによる危険なコードの読み込みを防止できる。 米Googleは12月16日、クロスサイトスクリプティング（XSS）などWebサイト経由の攻撃のリスク軽減を目的とした仕様「Content Security Policy」（CSP）をデスクトップ版のGmailでサポートしたと発表した。 同社によると、Gmail向けの一部拡張機能の中には、Gmailのセッションに干渉するコードを読み込んでしまうものがあるほか、メールのセキュリティを脅かすマルウェアも存在している。CSPではそうした拡張機能による危険なコードの読み込みを防止できるという。 主要な拡張機能は既にCSPに対応済み。もし拡張機能に関して問題が生じる場合は、ブラウザのWebストア（Google Chromeの場合はChrome Web Store）から最新バージョン
弊社のホームページにContent Security Policy(CSP)を導入しました
弊社のホームページにCSP(Content Security Policy)を導入しました。CSPについては、はせがわようすけ氏のスライド「5分でわかるCSP」がわかりやすいと思います。以下にスライドの一部を引用します。 具体的には、以下のように指定して使います。 Content-Security-Policy: default-src 'self' この結果、以下のようにJavaScriptの記述が制限されます。 外部のJavaScriptの読み込みは禁止 HTMLソースに記述した<script>...</script>のJavaScriptは禁止 イベント属性(onload="xxxx"など)は禁止 何も書けなくなるじゃないかと思われるかもしれませんが、JavaScriptは全て*.jsファイルに記述すればよい、ということです。 CSPは、JavaScriptのコードとデータを分離して
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
cookpad.com 全 HTTPS 化の軌跡
GitHub - cure53/HTTPLeaks: HTTPLeaks - All possible ways, a website can leak HTTP requests