Védje meg weboldalát XSS-támadásoktól CSP segítségével!

CSP XSS védelem online weboldalakhoz

A CSP XSS védelem akkor hasznos, ha egy weboldalon csökkenteni kell annak esélyét, hogy idegen kód fusson le a látogatók böngészőjében. Nem minden hibát old meg egyetlen beállítás, de jó védelmi réteget ad. Én azt látom, hogy sok magánügyfél akkor kezd ezzel foglalkozni, amikor már kapott figyelmeztetést egy biztonsági ellenőrzésből, vagy furcsa beágyazott kódot talált az oldalon. Ilyenkor nem elég egy gyors bővítménytelepítés. Át kell nézni, honnan tölt be az oldal képet, betűtípust, szkriptet, stílust, űrlapot és külső szolgáltatást.

A feladat távolról is jól végezhető, mert a szakember hozzáférésekkel, tesztoldallal, forráskóddal, tárhelypanellel vagy fejlesztői környezettel dolgozik. A jó eredmény nem az, hogy minden külső elem letiltódik. Az a cél, hogy a szükséges elemek működjenek, a felesleges és veszélyes betöltések pedig ne kapjanak engedélyt. Ez aprólékos munka. Rövid oldalon gyorsan megy, összetett rendszerben viszont több körös ellenőrzést igényel.

CSP beállítás és XSS kockázat

A CSP beállítás lényege, hogy a böngésző pontos utasítást kap arról, milyen forrásból tölthet be tartalmat. Ez lehet saját tartomány, képtár, betűtípus szolgáltató, fizetési felület, mérőkód vagy más külső rendszer. Ha a szabály túl laza, akkor gyenge lesz a védelem. Ha túl szigorú, akkor eltörhet az oldal. Szerintem ez az a pont, ahol sok ügyfél félreérti a munkát. Nem egy kapcsoló bekapcsolásáról van szó, hanem egy szabályrendszer felépítéséről.

Az XSS elleni védelem azért fontos, mert a rosszindulatú szkript képes lehet űrlapadatokat, munkamenetet vagy látogatói bizalmat érinteni. Egy egyszerű bemutatkozó oldalnál is kellemetlen, ha idegen tartalom jelenik meg. Egy belépést, rendelést vagy kapcsolatfelvételt kezelő oldalon pedig még nagyobb a kár. A privát fejlesztő ilyenkor megvizsgálja a jelenlegi fejléceket, a sablonokat, az űrlapokat, a bővítményeket és a külső kódokat. Nem mindig kell mindent átírni, de a veszélyes szokásokat meg kell szüntetni.

CSP XSS védelem ára

A CSP XSS védelem ára főleg attól függ, mennyire összetett az oldal, hány külső szolgáltatás fut rajta, van e belépés, kosár, űrlap vagy egyedi fejlesztés. A túl olcsó munka ezen a területen gyakran gyengébb minőséget jelent, mert a szakember csak bemásol egy általános fejlécet, majd nem teszteli végig az oldalt. Tapasztalatom szerint az ügyfélnek inkább azt érdemes nézni, hogy kap e ellenőrzött szabályt, hibajegyzéket és rövid magyarázatot a későbbi módosításokhoz.

CSP szakember kiválasztása

A megfelelő CSP szakember nem csak azt mondja meg, milyen sort kell a szerverbe írni. Megkérdezi, milyen rendszeren fut az oldal, milyen külső eszközök vannak bekötve, ki fog később módosítani rajta, és mi számít hibának az ügyfél oldalán. Magánügyfélként ez fontos, mert gyakran nincs külön műszaki vezető. A szakembernek érthetően kell leírnia, mit változtat, és miért.

Érdemes olyan szabadúszót választani, aki látott már tartalomkezelő rendszert, egyedi fejlesztést és szerveroldali beállítást is. A portfólió itt nem mindig látványos képernyőképekből áll. Inkább korábbi biztonsági feladatok, rövid esettanulmányok, tiszta kommunikáció és pontos munkamenet számít. A Qjob.hu felületén ilyen online feladathoz megadható, milyen oldaltípusról van szó, van e tesztkörnyezet, és milyen eredményt vár az ügyfél. Utána könnyebb összehasonlítani a jelentkezőket.

Online munkafolyamat és tesztelés

Az online munka első lépése a rövid állapotfelmérés. A fejlesztő megnézi az oldal felépítését, a böngésző konzolhibáit, a válaszfejléceket és a külső betöltéseket. Ezután javaslatot ad arra, hogy report only módban érdemes e indulni. Ez azért hasznos, mert az oldal még nem tilt le semmit véglegesen, de már látszanak a szabálysértések. Így kisebb az esélye annak, hogy egy fizetési gomb, űrlap vagy képgaléria hirtelen működésképtelen lesz.

A következő szakaszban elkészül a szabály. A szakember külön kezeli a szkripteket, stílusokat, képeket, kereteket, kapcsolatokat és űrlap célokat. Ha szükséges, nonce vagy hash alapú megoldást javasol, de ezt nem minden oldalnál éri meg bevezetni. Volt olyan eset, amikor egy ügyfél csak annyit kért, hogy legyen erősebb a biztonsági pontszám. A munka közben kiderült, hogy három régi mérőkód és egy elhagyott chatmodul is futott az oldalon. Ezek eltávolítása után a CSP szabály sokkal tisztább lett, és az oldal is gyorsabban töltött be.

A végeredményt át kell adni. Ez lehet beállított fejléc, módosított konfiguráció, javított sablon, rövid jelentés és lista a később figyelendő elemekről. A jó átadás nem túl hosszú, de használható. Tartalmazza, milyen külső források engedélyezettek, mit nem szabad gondolkodás nélkül hozzáadni, és mikor kell újra szakemberhez fordulni.

Gyakori hibák CSP bevezetésénél

Sokan ott hibáznak, hogy egy másik oldalról lemásolnak egy CSP szabályt. Ez ritkán működik jól. Minden weboldal más forrásokat használ. Ami az egyik oldalon biztonságos és elég szigorú, az a másikon vagy feleslegesen engedékeny, vagy azonnal elrontja a működést. A másik gyakori hiba az, hogy az ügyfél csak a pontszámra figyel. Egy zöldebb ellenőrzési eredmény nem mindig jelent valódi védelmet, ha közben a szabály tele van általános engedélyekkel.

Probléma az is, ha a javítás után senki nem teszteli az oldal fő útvonalait. Meg kell nézni az űrlapot, a belépést, a keresést, a rendelést, a képfeltöltést, a videót és minden olyan elemet, amely külső forrást használ. Rövid oldalon ez kevés idő. Nagyobb rendszernél már külön tesztlista kell. Én azt látom, hogy a legtöbb kellemetlen hiba nem a szabály írásakor keletkezik, hanem akkor, amikor egy későbbi módosításnál valaki új kódot illeszt be ellenőrzés nélkül.

XSS védelem és tartós karbantartás

Az XSS védelem nem egyszeri dísz a weboldalon. A CSP erős segítség, de nem helyettesíti a helyes kódolást, a frissítéseket, az űrlapadatok kezelését és a jogosultságok rendben tartását. Ha új bővítmény, mérőkód, hirdetési eszköz vagy külső betűtípus kerül az oldalra, a szabályt újra át kell nézni. Ez nem mindig nagy munka, de elmaradva később zavart okozhat.

Magánügyfélként érdemes egyszerű szabályt kérni a szakembertől a jövőre. Ki adhat hozzá külső kódot. Hol kell ellenőrizni a hibákat. Milyen esetben kell új teszt. Így az online biztonsági beállítás nem csak egyszeri javítás lesz, hanem fenntartható rend. Szerintem ez adja a munka valódi értékét. Nem az, hogy a fejléc technikailag létezik, hanem az, hogy az oldal működik, a kockázat kisebb, és az ügyfél érti, mire kell figyelnie.