Dmitry Belyavsky (beldmit) wrote,
Dmitry Belyavsky
beldmit

Categories:

Subresource Integrity

Ещё одна типасекьюрная технология Subresource Integrity. Не просто грузим скрипт откуда-то, но сопровождаем его хеш-суммой. И если хеш-сумма не совпала, то браузер грязно ругается. Я не понял, правда, насколько грязно: одно дело всплывающее окошко, другое - сообщение где-то в консоли отладки.

Модель угроз, как я понимаю - скрипты, которые тянутся с CDN. У CDN узлов много по всему миру, и кто его знает, кто в датацентры ходит. Если злоумышленник достаточно близко (у провайдера, как в Китае) и страница отдаётся по HTTP, то можно, конечно, и хеш подменить вместе со скриптом.

Ещё один потенциальный источник проблем, который так можно ловить - это внезапная смена версий скрипта. Но думаю, что приличные framework-и разные версии кладут по разным путям.

В Chrome добавили поддержку такой возможности уже некоторое время назад (версия 45, сейчас актуальная 47), в Firefox только что. В Opera тоже есть.

This entry was originally posted at http://beldmit.dreamwidth.org/456032.html. Your comment? (comment count unavailable comments)
Tags: security, компьютерное
Subscribe

  • «Чемпион мира»

    Эмиль Сутовский прорекламировал трейлер фильма «Чемпион мира». Ну, туда же, что и «Движение вверх» и что там ещё было по мотивам советских успехов.…

  • Е2-Е15, ПЕШКА БЕРЕТ КОРОЛЯ

    Иванов взялся за пешку и продвинул ее вперед. - Е2-Е4 - поторопился объявить секретарь. - Э-э! - остановил его Иванов и приник к доске: - Сейчас ты…

  • Книгу придумал

    С опозданием на 6 дней, но всё же. Дж.К.Роулинг «Гарри Поттер и ошибки выжившего». Влад Дронов уточняет, что это последняя книга цикла «10 000 000…

  • Post a new comment

    Error

    Anonymous comments are disabled in this journal

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

  • 6 comments