Care este diferența dintre X - Frame - Options și CSP frame - strămoși?

În calitate de furnizor X Frame, întâlnesc adesea întrebări de la clienți despre anteturile de securitate web, în ​​special despre diferența dintre X - Frame - Opțiuni și CSP frame - strămoși. În această postare pe blog, voi dezvălui aceste două concepte și voi explica cum diferă, ceea ce este crucial pentru oricine dorește să-și securizeze aplicațiile web și să înțeleagă rolul cadrelor în securitatea web.

X - Cadru - Opțiuni

X - Frame - Options este un antet HTTP care a fost unul dintre primele mecanisme de prevenire a atacurilor de tip clickjacking. Clickjacking este o tehnică rău intenționată în care un atacator ascunde un element rău intenționat pe care se poate face clic deasupra unui site web legitim. Când un utilizator face clic pe ceea ce crede că este o parte normală a site-ului, de fapt declanșează o acțiune nedorită asupra suprapunerii rău intenționate.

Antetul X - Frame - Options are trei valori posibile:

• NEGA: Această valoare împiedică pagina să fie încadrată de orice altă pagină. Indiferent de site-ul web care încearcă să încorporeze pagina dvs. într-un<iframe>,<cadru>,<obiect>, sau<incorporare>, browserul îl va bloca. De exemplu, dacă aveți o pagină de tranzacții financiare sensibile, setarea X - Frame - Options la DENY vă asigură că nu poate fi încorporată într-un site potențial rău intenționat.
• ACEEAȘI ORIGINE: Pagina poate fi încadrată numai de alte pagini care au aceeași origine (același protocol, domeniu și port) ca pagina însăși. Acest lucru este util atunci când doriți să permiteți propriilor subpagini să încadreze conținutul, dar împiedicați site-urile externe să facă acest lucru. De exemplu, dacă aveți un intranet corporativ în care diferite secțiuni ale site-ului ar putea avea nevoie să încorporeze conținut, SAMEORIGIN oferă un nivel de control.
• PERMITERE - DE LA: Aceasta este o opțiune mai flexibilă. Puteți specifica un anumit URI (Uniform Resource Identifier) ​​căruia îi este permis să încadreze pagina. Așadar, dacă compania dvs. are un parteneriat cu un alt site web și doriți să le permiteți acestora să vă încorporeze conținutul, puteți utiliza ALLOW - FROM urmat de domeniul lor.

Cu toate acestea, X - Frame - Options are unele limitări. Este un mecanism relativ simplu, cu flexibilitate limitată. De exemplu, poate specifica o singură origine atunci când se folosește ALLOW - FROM și nu acceptă metacaracterele sau alte modele complexe.

Cadrul Politicii de securitate a conținutului (CSP) - strămoși

Politica de securitate a conținutului (CSP) este o caracteristică de securitate mai cuprinzătoare care oferă un set de reguli pentru tipurile de resurse pe care le poate încărca o pagină web. Printre numeroasele sale directive, celcadru – strămoșidirectiva este special concepută pentru a controla ce pagini pot încadra pagina curentă.

Thecadru – strămoșidirectiva poate avea mai multe valori sursă, inclusiv:

• „sine”: Similar cu valoarea SAMEORIGIN a X - Frame - Options, permite ca pagina să fie încadrată numai de pagini din aceeași origine.
• 'nici unul': Aceasta este echivalentă cu valoarea DENY a lui X - Frame - Options. Acesta blochează complet pagina de a fi înrămată.
• Domenii specifice: Puteți lista mai multe domenii, cum ar fiexemplu.comşipartener - site.org, pentru a permite numai acele site-uri specifice să vă încadreze pagina. De asemenea, puteți folosi metacaractere, cum ar fi*.example.com, pentru a permite toate subdomeniile aleexemplu.compentru a încadra pagina. Acest lucru îl face mult mai flexibil decât X - Frame - Options.

CSP oferă, de asemenea, funcții mai avansate. De exemplu, poate fi configurat să raporteze încălcările de securitate înapoi către un server. Aceasta înseamnă că, dacă are loc o încercare de încadrare neautorizată, puteți fi notificat, permițându-vă să luați măsuri pentru a vă consolida securitatea.

Comparație între X - Frame - Opțiuni și CSP frame - strămoși

Flexibilitate

După cum am menționat mai devreme, CSP frame - strămoși este mult mai flexibil decât X - Frame - Options. X - Frame - Options poate specifica doar o singură origine cu ALLOW - FROM, în timp ce CSP frame - strămoșii pot enumera mai multe domenii, pot folosi metacaractere și chiar combina diferite valori sursă. De exemplu, puteți setacadru - sinele strămoșilor' *.de încredere - partner.compentru a permite atât auto-încadrarea cât și încadrarea din orice subdomeniu alde încredere - partner.com.

Compatibilitate

X - Frame - Options are o compatibilitate mai bună cu browserele mai vechi. A fost introdus mai devreme și majoritatea browserelor moderne îl acceptă în continuare. Cu toate acestea, pe măsură ce web-ul evoluează, tot mai multe browsere se concentrează pe implementarea CSP. CSP, inclusivcadru – strămoșidirectiva, este acceptată pe scară largă în browserele moderne, dar este posibil să nu funcționeze în browserele foarte vechi.

Raportare

X - Frame - Options nu are încorporat un mecanism de raportare. Odată ce are loc o blocare, nu există nicio modalitate de a obține informații înapoi despre încercarea de încadrare. În schimb, CSP poate fi configurat să trimită rapoarte atunci când o politică de securitate este încălcată. Puteți utiliza aceste rapoarte pentru a monitoriza și analiza amenințările de securitate la adresa site-ului dvs. web.

Cum afectează acest lucru afacerea mea de aprovizionare cu cadre X

În calitate de furnizor X Frame, înțelegerea acestor mecanisme de securitate este esențială. Când clienții noștri folosesc sistemul nostruBanner Frame Xîn ecrane sau aplicații bazate pe web, acestea trebuie să se asigure că conținutul este sigur. Dacă încorporează bannerul pe site-ul lor folosind cadre, trebuie să ia în considerare modul în care strămoșii X - Frame - Options și CSP frame - vor afecta vizibilitatea și securitatea bannerului.

De exemplu, dacă un client dorește să le permită partenerilor să încorporeze Bannerul Frame X pe site-urile lor, ar putea alege să folosească frame CSP - strămoși cu o listă de domenii partenere aprobate. În acest fel, ei pot avea un control fin asupra cine poate încadra bannerul, menținând în același timp securitatea.

Concluzie și apel la acțiune

În concluzie, atât strămoșii X - Frame - Opțiuni, cât și CSP frame - joacă roluri importante în securitatea web, dar au diferențe distincte. Cadrul CSP - strămoșii oferă mai multă flexibilitate și funcții avansate, în timp ce X - Frame - Opțiuni oferă o protecție simplă și larg - cu spectru larg de compatibilitate între browsere.

Dacă sunteți proprietar de afaceri sau un dezvoltator web, doriți să vă securizați conținutul web și să utilizați materiale de înaltă calitateBanner Frame X, vă încurajez să mă contactați. Putem discuta despre cum să echilibrăm securitatea și funcționalitatea în timp ce folosim cadrele noastre X în proiectele dumneavoastră. Fie că aveți nevoie de sfaturi privind configurarea antetelor de securitate potrivite sau dacă doriți să aflați mai multe despre produsele noastre X Frame, sunt aici pentru a vă ajuta. Nu ezitați să mă contactați pentru a începe o discuție productivă și pentru a vă duce proiectele web la nivelul următor.

Referințe

• RFC 7034 - Câmpul antet HTTP X - Cadru - Opțiuni
• Specificația de nivel 3 a politicii de securitate a conținutului W3C