|
|
| Zeile 1: |
Zeile 1: |
| − | === <span style="color:#c31622">Content-Security-Policy<span>=== | + | == Content-Security-Policy == |
| − | | |
| − | {| class="wikitable"
| |
| − | |'''Check'''||Content Security Policy Inaktiv
| |
| − | |-
| |
| − | |'''Beschreibung'''|| Die Content-Security-Policy ist ein Sicherheitskonzept, welches das Injizieren und Auszuführen von evtl. bösartigen Befehlen in eine Webanwendung (Content-Injection-Angriffe) mildern soll. Es stellt über eine Whitelist (Liste erlaubter Quellen) dar, von welchen [[Quellen]] Javascripte, Bilder, Schriftarten und andere Inhalte auf Ihrer Seite eingebunden werden dürfen.
| |
| − | |-
| |
| − | |'''Hintergrund'''|| Content Security Policy (CSP) erfordert eine sorgfältige Abstimmung und genaue Definition der Rechte. Wenn diese Option aktiviert wurde, hat CSP eine erhebliche Auswirkungen auf die Art und Weise wie der Browser die Seiten darstellt (rendert). Zum Beispiel ist "Inline JavaScript" standardmäßig deaktiviert und muss explizit erlaubt werden. CSP kann eine Reihe Angriffe wie [[Cross-Site Scripting]] und Cross-Site [[Injection]] verhindern.
| |
| − | |-
| |
| − | |'''Auswirkung'''||Die Content-Security-Policy ist eine leistungsfähige Möglichkeit, die Sicherheit auf Webseiten zu erhöhen. Wichtig dabei zu wissen ist, dass die Liste regelmäßig kontrolliert werden sollte (verhindert das Einschleusen von externen Inhalten und Code). Auf der anderen Seite ist es nur selten möglich, einen sicheren CSP-Header zu integrieren, ohne den Quellcode der Webseite zu modifizieren.
| |
| − | |-
| |
| − | |'''Lösung / Tipps'''||Verwenden Sie den CSP mit default-src 'none' und ohne unsicher-eval oder unsicher-inline-Richtlinien. Mehr zu '''Content Security Policy''' (zu deutsch etwa "Richtlinie für die Sicherheit der Inhalte") finden Sie bei '''[https://wiki.selfhtml.org/wiki/Sicherheit/Content_Security_Policy SELFHTML>>]'''
| |
| − | | |
| − | | |
| − | --snip<br>
| |
| − | | |
| − | '''Beispiele für den Header der Startseite:'''
| |
| − | | |
| − | <pre>
| |
| − | <meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">
| |
| − | <meta http-equiv="X-Content-Security-Policy" content="default-src 'self'; script-src 'self'">
| |
| − | <meta http-equiv="X-WebKit-CSP" content="default-src 'self'; script-src 'self'"></pre>
| |
| − | | |
| − | '''Konfiguration des Webservers'''
| |
| − | | |
| − | Wenn man seinen eigenen Webserver konfigurieren kann, was bei günstigen Hostingangeboten in aller Regel nicht der Fall ist, dann gibt es diese Einstellungsmöglichkeit über die '''Bearbeitung der .htaccess''':
| |
| − | | |
| − | <pre># Download / Lade Inhalte nur von Seiten die explizit erlaubt sind
| |
| − | # Beispiel: Alles von der eigenen Domain erlauben, keine Externas:
| |
| − | | |
| − | Header set Content-Security-Policy "default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self';"
| |
| − | | |
| − | </pre>
| |
| − | | |
| − | --snap
| |
| − | | |
| − | Hier finden Sie ein Beispiel, wie eine .htaccess -Datei aussehen kann, um den '''HTTP-Security-Header-Scanner''' Grün zu stimmen.
| |
| − | ([https://www.siwecos.de/wiki/Htaccess .htaccess-Beispiel])
| |
| − | | |
| − | | |
| − | | |
| − | |}
| |
| − | | |
| | | | |
| | + | '''Content Security Policy (CSP)''' ist der Name eines [[Header|HTTP-Header-Feldes]]. Dabei handelt es sich um ist ein strukturiertes Sicherheitskonzept, welches das Einschleusen und Ausführen von evtl. bösartigen Befehlen in einer [[Webanwendung]] ([[Injection|Injection-Angriffe]]) verhindern soll. Es stellt über eine [[Whitelist/DE|Whitelist]] dar, von welchen Quellen z. B. [[Javascript]], Bilder, Schriftarten und andere Inhalte auf Ihrer Seite eingebunden werden dürfen. So können Angriffe, z. B. über [[Cross-Site-Scripting]] unterbunden werden. |
| | | | |
| | [[Category:Siwecos-Scanner]] | | [[Category:Siwecos-Scanner]] |
| − | [[Category:HTTP Secure Header-Scanner]]
| |
| | [[Category:Glossar]] | | [[Category:Glossar]] |
