今夜つける HTTPレスポンスヘッダー （セキュリティ編） - うさぎ文学日記の中で、よく知らなかったヘッダーについて調べたメモ。
いくつかのヘッダーについてのブラウザ別のサポート状況はこちら。
（ちょっと古いが、少なくともこれ以降のバージョンではサポートしているということは分かる。）
↓
IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第8章 マッシュアップ：クライアントサイドマッシュアップ: #4 対策に利用できる技術
X-XSS-Protection
IE8以降のXSSフィルターはデフォルトで有効になっている（ブロッキングモードではない）。
↓
Security through HTTP response headers
[IEInternals] XSS フィルターを制御する | Hebikuzure's Tech Memo
Internet
Explorer 8 には、XSS フィルターとして知られている、反射型クロスサイト
スクリプティング攻撃を防止するのに有効な画期的新機能があります。このフィルターは既定ではインターネット ゾーン、信頼済みサイト
ゾーン、制限付きサイト ゾーンで動作します。
オフにしている人や、XSS on XSS Filterに備えて、ブロッキングモードで有効にさせるのが無難？
X-XSS-Protection: 1; mode=block
Content-Security-Policy （参考）
Content Security PolicyでXSSを断ち切る | monoの開発ブログインラインリソースは'unsafe-inline'で許可できる。
dataスキームURIには"data:"で許可できる。
↓
An Introduction to Content Security Policy - HTML5 RocksIEがほぼサポートしていないようなので、効果は限定的か。
↓
CSP policy directives - Security | MDN
CSP is quite usable in Chrome 16+, Safari 6+, and Firefox 4+, and has (very) limited support in IE 10.
セキュリティとしては非常に強力だが、ホワイトリストのメンテが面倒なので外部リソースを気軽に使うようなサイトでは使うのは難しい？
あるいは、こんな風に思いっきり緩くしておくか？（これだと意味がないか...）
Content-Security-Policy:
default-src 'self';
script-src 'unsafe-inline' *;
img-src data: *;
frame-src *;
font-src *;
style-src 'unsafe-inline' *;
report-uri /csp-report.php
見やすくするために改行している。未検証なので取扱注意。
faviconはimg-srcに含まれる。
違反が見つかったら、report-uriにJSONでPOSTされる。
eval()が必要なら'unsafe-inline'も追加する。
Content-Security-Policy-Report-Onlyでチェックのみに使うのが良いかもしれない。
Strict-Transport-SecurityIEが10でもサポートしていないことを考えると、これが効かない場合のリダイレクト等の処理も必要。
↓
HTTP Strict Transport Security - OWASP
投稿
