Defaults.Exposed › Parandused › Ristpäritolu isolatsiooni päised (COOP / CORP / COEP)

Kuidas parandada Ristpäritolu isolatsiooni päised (COOP / CORP / COEP)

Kolm valikulist brauseri juhist, mis kontrollivad, kuidas teised veebisaidid teie omaga suhtlemist võimaldavad — kas avada see hüpikaknas, manistada selle pilte ja skripte, või tõmmata selle ressursse oma lehtedesse. Need on kaasaegne karastamine, mitte põhiline kohustuslik, ning meie hindamisel on need informatiivsed: nende puudumine ei alanda teie hinnet. Kuid kaks ohutut sulgeb vaikse andmepüügi ja laiusevarguse lünga, ning hoolikas ostja IT-meeskond märkab nende olemasolu.

Põhijareldus sinu ettevõttele: Kaks neist kolmest päisest sulgevad keerukad hüpikandmepüügi ja peatavad teiste saitide hotlinkimise teie piltide ja skriptidega (mis maksab teile laiust ja võib andmeid lekitada). Need on tasuta, võtavad arendajal umbes 15 minutit, ega lõhu midagi. Kolmas on arenenud ja võib lõhkuda analüütikat, fonte ja manistamisi — enamik ettevõtteid peaks selle välja lülitama. Ükski neist ei mõjuta teie hinnet, nii et käsitlege neid viimistlusena, mitte paanikana: tehke kaks ohutut, jätke riskantne vahele, välja arvatud juhul, kui vajate seda spetsiaalselt.

Mida see sulle maksab

• Pettur avab teie päris saidi hüpikaknas ja hoiab kaugjuhtimist — suunab teie kliendi vaikselt üle võltsisselogimisele, niipea kui nad pilgu pöördutavad. Ohutu päis (COOP) katkestab selle juhtimislingi täielikult.
• Teised veebisaidid manistab teie toodete fotosid, logosid ja skripte otse teie serverist (hotlinking) — te maksate laiuse eest iga kord, kui nende külastajad laadivad lehte, ning teie varad ilmuvad saitidel, millega te ei kiidaks kunagi heaks.
• Potentsiaalse kliendi turvameeskond käivitab enne allkirjastamist päiste skannimise ja näeb, et olete lisanud kaasaegsed ristpäritolu karastamised — väike signaal, kuid see paigutab teid 'nad võtavad seda tõsiselt' veergu, mitte 'minimaalne miinimum' ühte.
• Arendaja, üritades põhjalik olla, lülitab arenenud isolatsiooni päise (COEP) sisse ilma testimata — ja lõhub teie Google Analyticsi, veebifondid ja manistatud broneerimisvidina öö jooksul. Teadmine, milline päis on ohutu ja milline riskantne, väldib iseendale põhjustatud katkestust.
• Audiitori kontrollnimekiri mainib ristpäritolu isolatsiooni; eelistate näidata 'kohal ja korras' kahe ohutu kohta, mitte selgitada, miks midagi pole olemas.

Miks see on oluline. Need on tulevikku vaatavad brauseri karastamise päised. Meie metoodikas on kõik kolm informatiivsed — need on registreeritud nullpunktidega ega liigu kunagi teie hindega — kuna need on arenenud kontrollid, milleta sait võib legitiimselt tegutseda, ning üks neist võib kahjustada, kui seda valesti rakendatakse. Aruandluse eesmärgil, et näeksite, kus seisate. Kaks ohutut (COOP ja CORP) on genuiinselt väärt lisamist: tasuta, kiire ning need sulgevad realsed hüpik-andmepüügi ja ressursivarguse lüngad ilma midagi lõhkumata.

Mis need on lihtsas keeles

Kui keegi külastab teie veebisaiti, ei laadi nende brauser ainult teie lehekülgi isoleeritult — see otsustab ka, kuidas teised veebisaidid teie omaga suhtlemist võimaldavad. Kas teine sait saab avada teie saidi hüpikaknas ja seda kontrolli all hoida? Kas teine sait saab ulatuda üle ja manistada teie pilte ja skripte oma lehtedesse? Kas teie enda sait saab turvaliselt kasutada teatud võimsaid, lukustatud brauseri funktsioone?

Need kolm päist on lühijuhised, mida teie veebisait saadab igale külastaja brauserile vastates täpselt nendele küsimustele. Neid tuntakse nende initsiaalide järgi:

• COOP — Cross-Origin-Opener-Policy. Kontrollib, kas teised saidid, mis avavad teie saidi hüpikaknas, saavad seda kaugjuhtida.
• CORP — Cross-Origin-Resource-Policy. Kontrollib, kas teised saidid võivad manistada teie pilte, skripte ja muid faile oma lehtedesse.
• COEP — Cross-Origin-Embedder-Policy. Arenenud kontroll, mis koos COOP-iga “isoleerib” teie lehe, et see saaks turvaliselt kasutada teatud võimsaid brauseri funktsioone.

Kaks neist (COOP ja CORP) on ohutu lisada ja genuiinselt kasulikud. Kolmas (COEP) on arenenud ja võib asju lõhkuda, kui hoolimata sisse lülitatakse.

Kõige olulisem asi ettepoole teada: meie hindamisel on kõik kolm informatiivsed. Need ei mõjuta teie hinnet. Puuduv ei maksa teile midagi. Aruandlame neist, et näeksite, kus seisate ja korrastaksite lihtsad võidud — mitte nii, et peaksite numbri pärast paanitsema.

Mida see võib teile maksma minna

Need on kitsad riskid, mitte pealkirjariskid — kuid need on reaalsed, ning parandused on tasuta.

• Hüpikandmepüük, mis hoiab kaugjuhtimist teie päris saidi üle. Ilma COOP-ita saab petturi leht avada teie päris veebisaidi hüpikaknas ja hoida elusat viidet sellele. Samal ajal kui teie kliendi tähelepanu on petturi lehel, saab ründaja ümber suunata selle hüpiku — teie päris domeen aadressiribas — võltssisselogimisele või maksekuvale täpselt sel hetkel, kui klient pöördub tagasi. COOP seadistus “same-origin” katkestab selle juhtimislingi, nii et hüpikut ei saa juhtida.

• Teised saidid varastavad teie laiust (ja paigutavad teie varasid, kuhu te ei soovi). Ilma CORP-ita saab mis tahes sait internetis manistada teie toodete fotosid, logosid, skripte ja muid faile otse teie serverist — “hotlinking”. Iga nende lehe külastaja laadib faili teilt, teie laiuse arvelt, kusjuures teie varad ilmuvad kontekstis, mida te pole kunagi kinnitanud. CORP seadistus “same-origin” peatab välissaidid teie ressursside manistamise.

• Vaikne andmelekkimise tee arenenud brauseri rünnakuteks. Sama ristpäritolu manistamine, mis võimaldab hotlinkimist, on ka üks teedest, mida keerukad kõrvalkanali brauseri rünnakud (Spectre perekond) kasutavad andmete lugemiseks, millele neil pole juurdepääsu. COOP ja CORP koos sulgevad selle tee brauseri tasemel. Enamiku väikeettevõtete jaoks on see turvalisuse reservvariant, kuid see on tasuta.

• Iseendale põhjustatud katkestus vale päise tõttu. Arenenud, COEP, nõuab, et kõik ressursid, mida teie sait laadib, kinnitaksid selgesõnaliselt. Lülitage see sisse ilma testimata ja teie analüütika, veebifondid, manistatud kaardid, broneerimisvidinate ja kolmanda osapoole skriptid võivad kõik laadimise lõpetada — kuna ühtegi neist pole küsitud kinnitama. See on ainus viis, kuidas need päised tegelikult teid kahjustada saavad, ja see on täielikult välditav: ärge lubage COEP-i ilma testimata.

• Kadunud lihtne signaal hoolikatele ostjatele. Kui potentsiaalse kliendi IT-meeskond skannib teie päiseid enne allkirjastamist, on kaasaegsete ristpäritolu karastamiste leidmine olemas väike, kuid reaalne “need inimesed võtavad turvalisust tõsiselt” signaal. See ei võida tehingut üksi — kuid see on tasuta olla selle arvetabeli õigel küljel.

Mis igaüks tegelikult on

COOP — Cross-Origin-Opener-Policy (ohutu, soovitatav)

Kui teine veebisait avab teie hüpiku või window.open-ga, saavad kaks akent tavaliselt hoida viidet üksteisele. Seda linki saab kuritarvitada: avaja saab manipuleerida või ümber suunata teie akent, lugeda URL-i fragmente ja lavastada veenvat andmepüüki kasutades teie päris domeeni. COOP: same-origin katkestab selle suhte — teie aken muutub isoleerituks kõigest, mis selle üle päritolupiirides avas. Tavalist sirvimist, teie enda sisemisi linke ja tavalist navigeerimist see ei mõjuta.

Mis näeb välja “hea”: Cross-Origin-Opener-Policy: same-origin.

CORP — Cross-Origin-Resource-Policy (ohutu, soovitatav)

Vaikimisi saab mis tahes sait kõikjal manistada teie pilte, skripte ja muid faile. CORP: same-origin ütleb brauseritele keelduda ristpäritolu manistamisest teie ressurssidest — nii et teised saidid ei saa hotlinkida teie varasid ega tõmmata neid oma lehtedesse. Teie enda sait laadib ikka oma ressursse täpselt nagu enne; ainult välissaidid blokeeritakse.

Mis näeb välja “hea”: Cross-Origin-Resource-Policy: same-origin. (Kui kavatsuslikult avaldate varasid teistele manistamiseks — avalik logo, avatud API — saab teie arendaja lõdvendada seda just nende konkreetsete vastuste puhul.)

COEP — Cross-Origin-Embedder-Policy (arenenud, tavaliselt jätke väljas)

COEP täiendab “ristpäritolu isolatsiooni”: koos COOP-iga nõuab see, et kõik ressurssid, mida teie leht laadib, kinnitaksid selgesõnaliselt (CORS-i või CORP-i kaudu). Õigesti tehtud avab see teatud võimsaid brauseri funktsioone (nagu SharedArrayBuffer) ja lisab veel ühe kihi Spectre-klassi rünnakute vastu. Kuid kuna see nõuab kõigilt, mida laadite, kinnitamist, lõhub see kergesti kolmanda osapoole tööriistad — analüütika, fondid, manistatud vidinaid — mis polnud ehitatud kinnitamiseks. Enamik veebisaitidest ei vaja funktsioone, mida see avab, ega tohiks kanda rikkumisriski.

Mis näeb välja “hea”: harvale saidile, mis seda vajab, Cross-Origin-Embedder-Policy: credentialless — turvalisem väärtus, vähem tõenäoline väliste ressursside lõhkumiseks kui require-corp. Kõigile teistele on puudumine fine, ning meie aruanne ei karista teid selle eest.

Kuidas seda parandada (tasuta, ~15 minutit)

Andke see oma IT-inimesele või veebiarendajale — parandus on tasuta. COOP ja CORP lisamine on paar ühereallist seadistust teie serveril või CDN-is; pole litsentsi ega jooksvaid kulusid. Ainus juhis omanikule on: tehke kaks ohutut, ning ärge lubage COEP-i ilma testimata.

Need on vastuse päised, seadistatuna kus iganes teie saidi vastused toodetakse — kõige hõlpsamalt teie CDN-is (nt Cloudflare), kui teil on üks, muidu teie veebiserveri konfiguratsioonis.

Kaks ohutut päist (soovitatav kõigile)

Cloudflare — Reeglid → Muutmisreeglid → Muutke vastuse päist → Seadke:

• Cross-Origin-Opener-Policy = same-origin
• Cross-Origin-Resource-Policy = same-origin

Nginx:

add_header Cross-Origin-Opener-Policy   "same-origin" always;
add_header Cross-Origin-Resource-Policy "same-origin" always;

Apache:

Header always set Cross-Origin-Opener-Policy   "same-origin"
Header always set Cross-Origin-Resource-Policy "same-origin"

Need on ohutu lisada ega lõhu normaalset funktsionaalsust. Pärast juurutamist laadige mõni leht uuesti ja kinnitage, et sait käitub täpselt nagu enne (peaks).

Arenenud päis (ainult siis, kui seda spetsiaalselt vajate)

Ärge lülitage seda sisse ilma lavastuses testimata. COEP võib lõhkuda analüütikat, fonte ja manistatud vidinaid.

Cloudflare: Muutmisreeglid → Seadke Cross-Origin-Embedder-Policy = credentialless.

Nginx:

add_header Cross-Origin-Embedder-Policy "credentialless" always;

Kasutage credentialless-i, mitte require-corp-i — see on vähem tõenäoline väliste ressursside lõhkumiseks. Testige põhjalikult lavastuses; vaadake mis tahes kolmanda osapoole skripti, fondi või manistatu, mis laadimise lõpetab. Kui midagi lõhub ja te tegelikult ei vaja funktsioone, mida COEP avab, eemaldage päis lihtsalt — sellel puudumise eest pole karistust.

Platvormi märkused

• Google Workspace / Microsoft 365: need toitavad teie meili, mitte teie veebisaiti, nii et siin pole midagi seadistada. Need päised kuuluvad kus iganes teie veebisaiti hostitakse (teie CDN, host või server).
• Levinud hallatud hostid / saidiehitajad (Wix, Squarespace, Shopify jne): kohandatud vastuse päiseid ei pruugi odavamatel plaanidel konfigureerida olla võimalik. Kui te neid ei saa lisada, on see fine — need on informatiivsed ega mõjuta teie hinnet. CDN-i nagu Cloudflare oma saidi ette asetamine on tavaline viis päise juhtimise saamiseks.
• WordPress teie enda hostimises: seadistage need oma veebiserveri konfiguratsioonis (Nginx/Apache ülalpool) või CDN-i kaudu, mitte pistikprogrammis, kui võimalik — serveri/CDN-i tase on puhtam ja rakendub igale vastusele.

Levinud vead

• COEP “põhjalik olemise” eesmärgil lubamine ja saidi lõhkumine. See on suur. COEP nõuab kinnitus kõigilt, mida laadite; lülitage see sisse ilma testimata ja teie analüütika, fondid ja manistamised võivad kaduda. Kui te ei vaja brauseri funktsioone, mida see avab, ärge seadke seda.
• Nende käsitlemine kiireloomulistena, sest skanner neid mainis. Need on informatiivsed. Hinnatud veebipäised (HTTPS, HSTS, CSP, klikkimise vargus, MIME-nuusutamine) tulevad esmalt — parandage need enne siia energia kulutamist.
• CORP liiga rangeks seadistamine, kui tegelikult avaldate manistamiseks mõeldud varasid. Kui teenite teadlikult logo, sildi või API teiste saitide kasutamiseks, blokeerib kogu saidi same-origin CORP neid. Lõdvendage seda ainult nende vastuste puhul, mitte loobudes päisest kõikjal.
• Päise lisamine lehe/rakenduse tasemel ning mõnede vastuste vahelejätmine. Seadke need serveri või CDN-i tasemel, et need rakenduvad igale vastusele (pildid, skriptid, API lõpp-punktid), mitte ainult HTML-lehtedele.
• Segamine SSL-tabalukuga. HTTPS krüpteerib ühenduse; need kontrollivad ristisaidi interaktsiooni. Need pole seotud ja soovite mõlemat.

Hinnemärkus

Täiesti selgelt öeldes: ükski neist kolmest kontrollist ei mõjuta teie hinnet. Need on registreeritud meie metoodikas informatiivsena, nullpunktidega, ning puuduv ei maksa teile kunagi midagi. Toome need esile, sest kaks ohutut on odavad, genuiinsed parendused ning täieliku pildi nägemine on kasulik — mitte seetõttu, et on number kaitsta. Kui te siin midagi ei tee, on teie hind täpselt sama. Kui lisate COOP-i ja CORP-i, olete suletud paar reaalset (kui kitsast) lünka tasuta. See on õige viis sellele lehele mõelda: valikuline viimistlus, ühe selgelt märgistatud lõksuga vältimiseks.

KKK