CSP style-src: "unsafe-inline" - czy warto?

Question

Obecnie używam Modernizr na wszystkich moich stronach i okazuje się, że ze względu na sposób jego działania wymagane są style unsafe-inline. Już nie zezwalam na skrypty wbudowane i niebezpieczne ewaluacje. Zastanawiasz się, jakie są zagrożenia bezpieczeństwa związane z obsługą stylów wbudowanych?

Answer 1

Dopuszczenie stylów wbudowanych sprawia, że ​​jesteś podatny na "inny XSS". Ataki typu Cross Site Styling.

Pomysł polega na tym, że w miejscach, w których użytkownik może wprowadzić atrybut stylu do dokumentu, może zmodyfikować wygląd strony w dowolny sposób. Wymienię kilka potencjalnych ataków uporządkowanych według rosnącej skali:

1. Mogą zmienić kolor Twojej strony i sprawić, że będzie wyglądać głupio.
2. Mogli zmodyfikować tekst swojej strony, dzięki czemu wygląda na to, że mówisz coś obraźliwego, co może obrażać twoich czytelników.
3. Mogłyby tworzyć treści generowane przez użytkowników, takie jak podany link, które pojawiają się poza normalnymi miejscami, w których użytkownicy oczekują zawartości użytkownika, co sprawia, że ​​wydaje się ona oficjalna. (np. zastąpienie przycisku "Logowanie" w witrynie własnym linkiem).
4. Korzystając ze starannie spreparowanych reguł stylu, mogą wysyłać wszelkie informacje zawarte na stronie do zewnętrznych domen i narażać lub w inny sposób wykorzystywać te dane w złej wierze wobec użytkowników.

Czwarty przykład, informacje są przeciekły do ​​domen zewnętrznych może być całkowicie zapobiec pomimo unsafe-inline pod warunkiem zapewnienia twoje inne zasady CSP nie pozwalają wszelkiego rodzaju żądanie, aby przejść do domeny niezaufane lub wieloznacznych. Ale pierwsze 3 będzie zawsze możliwe, jeśli przegapisz blokowanie jakiegoś atrybutu stylu.

Mike West zrobił dobry talk na ten temat dla CSSConf kilka lat temu dla kilku innych przykładów.