Defaults.Exposed › Поправки › Защита срещу MIME-sniffing (X-Content-Type-Options)

Как да поправите Защита срещу MIME-sniffing (X-Content-Type-Options)

Еднолинейна заглавка, спираща браузърите да познаят какво реално е един файл. Без нея файл, качен на вашия сайт — или файл на собствените ви страници — може да бъде погрешно прочетен от браузъра и да се изпълни като код, което именно е начинът, по който някои атаки превръщат безвредно изглеждащо качване в начин за кражба на сесиите на клиентите ви.

Заключение за вашия бизнес: Липсващата тази заглавка е ясен, сканируем знак, че основите не са на място. Сама по себе си рядко сваля сайт, но комбинирана с формуляр за качване на файл или съдържание, генерирано от потребители, отваря път на нападателя да изпълни злонамерен код в браузърите на вашите посетители — отвличайки влезли сесии, крадейки данни за влизане или въвеждане на карта и поставяйки ви на грешната страна на разговор за нарушение на данни. Това е едно от най-евтините поправяния в сигурността: един ред, безплатно, около пет минути.

Какво може да ви струва това

• Всяка страница, където клиенти или персонал могат да качват файлове (аватари, документи, прикачени файлове за поддръжка, снимки на листинги), се превръща в възможна стартова площадка за атаки от страна на браузъра.
• Нападател може да прикрие злонамерен код като изображение или текстов файл и браузърът на посетителя да го изпълни — крадейки влязлата им сесия на вашия сайт.
• Въпросниците за сигурност, проверките за киберзастраховка и корпоративните купувачи сканират за тази заглавка; нейното отсъствие се чете като 'не правят основите' и може да спре или потопи сделка.
• По-старите браузъри и някои интеграции 'подушват' типовете съдържание и могат погрешно да обработят файлове по начини, разрушаващи доверие или изтичащи данни.

Защо има значение. Браузърите, когато сървърът е неясен относно това какво е даден файл, ще опитат да познаят ('подушат') типа на съдържанието. Нападателите използват тази предположка: качват файл, кирилен от сървъра като изображение, но чийто съдържание е изработено така, че браузърът да реши, че всъщност е JavaScript — и го изпълнява. Заглавката `X-Content-Type-Options: nosniff` казва на всеки браузър да спре да предполага и да вярва на декларирания тип от сървъра, затваряйки целия клас от трикове. Тя е оценена проверка, носеща 25 точки, и е оценена с средна сериозност когато липсва.

Кратката версия за собственика

Има тихо предположение, вградено в всеки уеб браузър: когато изтегля файл от вашия сайт, той опитва да разбере какъв вид файл е. Обикновено вярва на вашия сървър. Но ако вашият сървър е неясен, браузърът ще предположи — и това предположение се казва MIME-sniffing.

Проблемът е, че нападателите могат да манипулират предположението. Те могат да изработят файл, честно вярван от вашия сървър за безвредно изображение, но при оставяне на браузъра да предполага, решен, че всъщност е парче програмен код — и след това го изпълняват, директно в браузъра на вашия клиент, на вашия домейн.

Има еднолинейна инструкция, изключваща предположението: X-Content-Type-Options: nosniff. Тя казва на всеки браузър: „не предполагай — вярвай точно на това, което сървърът ти казва.” Това е цялата поправка. Безплатна е, отнема около пет минути и на правилно изграден сайт не счупва нищо.

Тази проверка търси тази заглавка. Ако липсва, губите 25 точки и се оценява като проблем с средна сериозност — не защото самата заглавка е катастрофа, но защото нейното отсъствие е надежден знак, че основите не са заключени.

Какво може да ви струва това

Това са реалистични, бизнес-нивои сценарии — а не крайно лош театър.

• „Безвредният прикачен файл”, който не беше такъв. Управлявате портал за поддръжка или пазар, където клиентите качват файлове — разписки, снимки, документи. Нападател качва файл, съхраняван от системата ви и обслужван като изображение. Без nosniff, браузърът на жертва предполага, че файлът всъщност е скрипт и го изпълнява — тихо откраднвайки влязлата сесия на онзи посетител на вашия сайт. Сега нападателят е те: правейки поръчки, четейки съобщения, сменяйки данни. Разбирате, когато клиентите започнат да се оплакват от активност, която не са правили.

• Сделката, спираща при въпросник за сигурност. Екипът по закупуване на по-голям клиент прави автоматизирано сканиране на вашия сайт преди подписване. Липсващите заглавки за сигурност се появяват незабавно. Дори нищо никога да не е било използвано, докладът казва „основни заглавки за уеб сигурност липсват” и изведнъж отговаряте на въпроси за отстраняване и отдалечавате датата на затваряне с седмици — заради поправка, отнемаща пет минути.

• Подновяването на киберзастраховането, ставащо по-трудно. Все повече застрахователи сега сканират преди котировка или подновяване. Чист профил от заглавки е евтино доказателство за хигиена; липсваща е малка черна точка, натрупваща се с други и накланяща премията ви нагоре или условията ви надолу.

• Репутационният удар, трудно за отмяна. Ако инцидент с отвличане на сесия се проследи до файл, обслужван от вашия домейн, историята не е „липсваше неясна заглавка” — тя е „[вашият бизнес] изтече клиентски акаунти.” Именно версията, помнена от клиентите, струва много повече от поправката.

Нито едно от тях не изисква сложен нападател. Злоупотребата с MIME-sniffing е добре разбрана и автоматизирана, именно поради което скенерите маркират толкова твърдо липсващата заглавка.

Какво всъщност е

Когато браузър получи файл, сървърът трябва да го маркира с тип на съдържанието (например image/png за PNG изображение или text/html за уеб страница). Исторически браузърите не са вярвали напълно на онзи маркер — частично защото някои сървъри са го грешили — така че са надникнали в реалните байтове на файла и са решили сами. Това надникване е MIME-sniffing.

Беше удобство, станало отговорност. Ако нападател може да постави файл на вашия сайт (чрез формуляр за качване, поле за коментар, импортиран документ) и да влияе върху неговото съдържание, те могат да изработят нещо, маркирано от сървъра невинно, но подушено от браузъра като изпълним скрипт. Браузърът след това го изпълнява на вашия домейн, с цялото доверие, носено от вашия домейн.

X-Content-Type-Options: nosniff премахва догадките напълно. С него зададено, на браузъра се казва: използвай декларирания тип от сървъра и нищо друго. Файл, маркиран като изображение, се третира като изображение, точка — дори съдържанието му да изглежда като скрипт. Векторът на атака се затваря.

Как изглежда „добро”: всеки отговор от вашия сайт — страници и активи еднакво — носи точно тази заглавка:

X-Content-Type-Options: nosniff

Няма друга валидна стойност и нищо за настройване. Ако вашите CDN и сървър и двата я добавят (така виждате nosniff, nosniff), това е наред и все пак се счита за преминаване.

Как да го поправите (безплатно, ~5 минути)

Предайте този раздел на когото управлява вашия уебсайт — вашия IT специалист, уеб разработчик или поддръжка на хостинг. Поправката е безплатна и бърза; няма нищо за купуване. Това, за което молите, е просто: „Добавете заглавката на отговора X-Content-Type-Options: nosniff към всяка страница и актив на сайта.”

Ето детайлите за тях, по обичайна платформа.

Cloudflare (или подобна CDN/прокси) — Често най-бързото място за направяне, обхващайки целия сайт наведнъж:

• Използвайте Response Header Transform Rule (Rules → Transform Rules → Modify Response Header), за да зададете X-Content-Type-Options на nosniff за всички входящи заявки. Това го прилага в целия сайт без докосване на оригиналния сървър.

Nginx — добавете вътре в съответния блок server (или location):

add_header X-Content-Type-Options "nosniff" always;

Ключовата дума always гарантира, че се изпраща и при грешки. Презаредете Nginx след запазване.

Apache — изисква активиран mod_headers; в конфигурацията на сайта или .htaccess:

Header always set X-Content-Type-Options "nosniff"

IIS / Windows хостинг — в web.config под <system.webServer>:

<httpProtocol>
  <customHeaders>
    <add name="X-Content-Type-Options" value="nosniff" />
  </customHeaders>
</httpProtocol>

Node / Express — задайте го за всеки отговор:

app.use((req, res, next) => {
  res.setHeader('X-Content-Type-Options', 'nosniff');
  next();
});

(Или използвайте пакета helmet, задаващ това и няколко други заглавки за сигурност по подразбиране.)

Сайтове на Google Workspace / Microsoft 365: те управляват имейла и документите ви, а не публичното ви уеб хостинг, така че заглавката не се задава там — тя се задава там, където действително се обслужва уебсайтът ви (вашата CDN, уеб сървър или конструктор на сайтове). Ако използвате хостван конструктор на сайтове (Squarespace, Wix, Shopify и подобни), много я добавят автоматично за вас; проверете резултата, вместо да предполагате, и питайте тяхната поддръжка, ако липсва.

След разгръщане, проверете го. Стартирайте отново сканирането или накарайте разработчика да провери заглавките на отговора в инструментите за разработчик на браузъра (Раздел Мрежа → кликнете върху произволна заявка → Заглавки на отговора) и потвърдете, че X-Content-Type-Options: nosniff е налице. Тествайте сайта накратко, за да потвърдите, че нищо стилизирано или написано в скрипт не се е счупило — на правилно изграден сайт нищо няма.

Чести грешки

• Задаване само на началната страница. Заглавката трябва да е на всеки отговор — включително изображения, скриптове, стилови таблици и качени файлове — защото тези са ресурсите, засягани от sniffing. Приложете я на нивото на сървъра или CDN, така че да е универсална, а не страница по страница.
• Грешка в стойността. Единствената валидна стойност е nosniff. Всичко друго (празна стойност, правописна грешка) не преминава проверката и не осигурява защита. Скенерът ще докладва стойността, реално видяна, за да можете да намерите правописна грешка.
• Предположение, че замества Политика за сигурност на съдържанието. nosniff е един слой. Той не контролира кои скриптове е разрешено да се изпълняват — това е работата на CSP. Добавете nosniff сега като бърза победа и третирайте правилен CSP като по-голямото последващо действие.
• Премахване на „дублирането”. Ако и вашите CDN, и оригинала го задават, ще го видите два пъти. Това е безвредно — не прекарвайте време да извадите едно.
• Плащане за него. Това е безплатна конфигурационна промяна. Мониторингът, одитите и таблата за портфолио са легитимно платени; добавянето на единична заглавка не е.

Предайте това на вашия IT специалист

Техническото резюме: тази проверка инспектира HTTP заглавките на отговора и преминава когато X-Content-Type-Options е налице и стойността му (без разлика на регистър) съдържа nosniff — включително случая с многократен-изходник nosniff, nosniff, където CDN и оригинала и двата го задават. Липсваща или каквато и да е стойност, различна от nosniff, се проваля. Тя е оценена проверка P2, носеща 25 точки, оценена като средна сериозност при провал и съответства на OWASP Top 10 A05 (Неправилна конфигурация на сигурността). Отстраняването е единична статична заглавка на отговора, приложена за всички отговори; няма параметри и валидни алтернативни стойности. Задайте я на ръба (CDN) за покриване на целия сайт или на уеб сървъра с семантиката always, така че да се излъчва и при грешки, след което потвърдете в заглавките на отговора.

ЧЗВ