سياسة أمان المحتوى

سياسة أمان المحتوى ( CSP ) هي معيار أمان حاسوبي تم تقديمه لمنع هجمات البرمجة النصية عبر المواقع (XSS) وهجمات النقر الخادع وغيرها من هجمات حقن التعليمات البرمجية الناتجة عن تنفيذ محتوى ضار في سياق صفحة ويب موثوقة . ^{[ 1 ]} وهي توصية مرشحة من فريق عمل أمان تطبيقات الويب التابع لاتحاد شبكة الويب العالمية (W3C) ، ^{[ 2 ]} وتحظى بدعم واسع من متصفحات الويب الحديثة . ^{[ 3 ]} توفر سياسة أمان المحتوى طريقة قياسية لأصحاب مواقع الويب لتحديد مصادر المحتوى المعتمدة التي يُسمح للمتصفحات بتحميلها على تلك المواقع - وتشمل أنواع المحتوى المشمولة : جافا سكريبت ، وCSS ، وإطارات HTML ، وعمال الويب ، والخطوط ، والصور، والكائنات القابلة للتضمين مثل تطبيقات جافا الصغيرة ، و ActiveX ، وملفات الصوت والفيديو، وغيرها من ميزات HTML5 .

تم اقتراح المعيار، الذي كان يُسمى في الأصل قيود المحتوى، من قِبل روبرت هانسن في عام 2004، ^{[ 4 ]} وطُبِّق لأول مرة في متصفح فايرفوكس 4 ، وسرعان ما تبنّته متصفحات أخرى. نُشر الإصدار الأول من المعيار في عام 2012 كتوصية مرشحة من اتحاد شبكة الويب العالمية (W3C)، ^{[ 5 ]} وسرعان ما نُشرت إصدارات أخرى (المستوى 2) في عام 2014. اعتبارًا من عام 2023^{[ 6 ]} يجري تطوير مسودة المستوى 3، ويتم اعتماد الميزات الجديدة بسرعة من قبل متصفحات الويب.

تُستخدم أسماء العناوين التالية كجزء من تطبيقات CSP التجريبية: ^{[ 3 ]}

• Content-Security-Policy– اسم رأس الصفحة القياسي المقترح في وثيقة W3C. يدعم جوجل كروم هذا الاسم بدءًا من الإصدار 25. ^{[ 7 ]} ويدعمه فايرفوكس بدءًا من الإصدار 23، ^{[ 8 ]} الذي صدر في 6 أغسطس 2013. ^{[ 9 ]} ويدعمه WebKit بدءًا من الإصدار 528 (الإصدار الليلي). ^{[ 10 ]} أما دعم مايكروسوفت إيدج المبني على كروميوم فهو مشابه لدعم كروم. ^{[ 11 ]}
• X-WebKit-CSP– رأسية تجريبية مهملة تم إدخالها في جوجل كروم وسفاري ومتصفحات الويب الأخرى المستندة إلى WebKit في عام 2011. ^{[ 12 ]}
• X-Content-Security-Policy– رأسية تجريبية مهملة تم تقديمها في المتصفحات المستندة إلى Gecko 2 (من Firefox 4 إلى Firefox 22، وThunderbird 3.3، وSeaMonkey 2.1). ^{[ 13 ]}

يمكن للموقع الإلكتروني أن يُعلن عن عدة رؤوس CSP، بما في ذلك رؤوس الإنفاذ ورؤوس الإبلاغ فقط. وسيقوم المتصفح بمعالجة كل رأس على حدة.

يمكن أيضًا تضمين سياسة أمان المحتوى (CSP) ضمن كود HTML باستخدام علامة meta ، على الرغم من أن فعاليتها ستكون محدودة في هذه الحالة. ^{[ 14 ]}

يدعم كل من Internet Explorer 10 و Internet Explorer 11 أيضًا CSP، ولكن فقط توجيه sandbox، باستخدام X-Content-Security-Policyرأس تجريبي. ^{[ 15 ]}

تدعم العديد من أطر عمل تطبيقات الويب سياسة أمان المحتوى (CSP)، مثل AngularJS ^{[ 16 ]} (بشكل أصلي) و Django (كبرنامج وسيط). ^{[ 17 ]} وقد نشر GitHub تعليمات خاصة بـ Ruby on Rails . ^{[ 18 ]} ومع ذلك، فإن دعم إطار عمل الويب مطلوب فقط إذا كانت محتويات سياسة أمان المحتوى تعتمد بطريقة ما على حالة تطبيق الويب، مثل استخدام المصدر . بخلاف ذلك، تكون سياسة أمان المحتوى ثابتة ويمكن توفيرها من طبقات تطبيق الويب الأعلى، على سبيل المثال من خلال موازن الأحمال أو خادم الويب .nonce

إذا كان Content-Security-Policyرأس الطلب موجودًا في استجابة الخادم، فإن العميل المتوافق يفرض سياسة القائمة المسموح بها. أحد أهداف هذه السياسة هو فرض نمط تنفيذ أكثر صرامة للغة جافا سكريبت لمنع بعض هجمات البرمجة النصية عبر المواقع. عمليًا، يعني هذا تعطيل عدد من الميزات افتراضيًا.

• كود جافا سكريبت مضمن ^{[ أ ]}
  • <script>الكتل، ^{[ ب ]}
  • معالجات أحداث DOM كسمات HTML (على سبيل المثال onclick)
  • الروابطjavascript:​
• عبارات CSS المضمنة
  • <style>الكتلة ^{[ ب ]}
  • styleيُعزى ذلك إلى عناصر HTML
• تقييم كود جافا سكريبت الديناميكي ^{[ ج ]}
  • eval()
  • وسائط السلسلة setTimeoutللدوالsetInterval
  • new Function()المُنشئ
• عبارات CSS الديناميكية
  • CSSStyleSheet.insertRule()طريقة

على الرغم من أن استخدام سياسة أمان المحتوى (CSP) في تطبيق جديد قد يكون بسيطًا للغاية، خاصةً مع إطار عمل جافا سكريبت المتوافق معها، ^{[ د ]} إلا أن التطبيقات الحالية قد تتطلب بعض إعادة الهيكلة أو تخفيف السياسة. تتمثل أفضل ممارسات البرمجة لتطبيقات الويب المتوافقة مع CSP في تحميل التعليمات البرمجية من ملفات مصدر خارجية <script src>، وتحليل JSON بدلاً من تقييمه، واستخدامه EventTarget.addEventListener()لتعيين معالجات الأحداث. ^{[ 23 ]}

في كل مرة ينتهك فيها مورد مطلوب أو تنفيذ برنامج نصي السياسة، سيقوم المتصفح بإرسال POSTطلب إلى القيمة المحددة في report-uri^{[ 24 ]} أو report-to^{[ 25 ]} يحتوي على تفاصيل الانتهاك.

تقارير CSP هي هياكل JSON قياسية ويمكن التقاطها إما عن طريق واجهة برمجة التطبيقات الخاصة بالتطبيق ^{[ 26 ]} أو عن طريق مستقبلات تقارير CSP العامة.

في عام ٢٠١٨، كشف باحثون أمنيون عن كيفية إرسال تقارير إنذار كاذبة إلى المُستقبِل المُحدد report-uri. يسمح هذا للمهاجمين المحتملين بتفعيل هذه الإنذارات بشكل عشوائي، وقد يُقلل من جدواها في حال وقوع هجوم حقيقي. ^{[ ٢٧ ]} هذا السلوك مقصود ولا يمكن إصلاحه، لأن المتصفح (العميل) هو من يُرسل التقارير.

وفقًا لنموذج معالجة CSP الأصلي (1.0) (2012-2013)، ^{[ 28 ]} لا ينبغي لـ CSP أن يتدخل في عمل إضافات المتصفح أو ملحقاته المثبتة من قِبل المستخدم. كانت هذه الخاصية في CSP ستوصي بالسماح لأي إضافة أو ملحق أو إشارة مرجعية بحقن نصوص برمجية في مواقع الويب، بغض النظر عن مصدر تلك النصوص، وبالتالي إعفائها من سياسات CSP.

مع ذلك، تم تعديل هذه السياسة لاحقًا (اعتبارًا من CSP 1.1) ^{[ 29 ]} بالصيغة التالية. لاحظ استخدام كلمة "يجوز" بدلًا من التوصية السابقة "ينبغي":

ملاحظة: قد تسمح برامج وكلاء المستخدم للمستخدمين بتعديل أو تجاوز تطبيق السياسة من خلال تفضيلات المستخدم، والإشارات المرجعية، وإضافات الطرف الثالث لبرنامج وكيل المستخدم، وآليات أخرى مماثلة.

كان مستخدمو المتصفحات يستخدمون التوصية "ينبغي" للمطالبة بالالتزام بالسياسة وتثبيت التغييرات في المتصفحات الشائعة (فايرفوكس، كروم، سفاري) لدعمها. وقد أثار هذا الأمر جدلاً واسعاً، لا سيما عندما بدأت مواقع مثل تويتر وجيت هاب في استخدام سياسات أمان المحتوى (CSP) الصارمة، مما أدى إلى تعطيل استخدام الإشارات المرجعية. ^{[ 30 ]}

تعتبر مجموعة عمل أمن تطبيقات الويب التابعة لاتحاد شبكة الويب العالمية (W3C) هذا النوع من البرامج النصية جزءًا من قاعدة الحوسبة الموثوقة التي يطبقها المتصفح؛ ومع ذلك، فقد جادل ممثل شركة كوكس للاتصالات أمام مجموعة العمل بأن هذا الاستثناء يمثل ثغرة أمنية محتملة يمكن استغلالها بواسطة إضافات أو ملحقات خبيثة أو مخترقة. ^{[ 31 ] [ 32 ]}

اعتبارًا من عام 2015يتم اقتراح عدد من معايير أمان المتصفح الجديدة من قبل W3C، ومعظمها مكمل لـ CSP: ^{[ 33 ]}

• سلامة الموارد الفرعية ( SRI )، لضمانتحميل ملفات الموارد المعروفة والموثوقة فقط (عادةً JavaScript و CSS ) من خوادم الطرف الثالث (عادةً شبكات توصيل المحتوى CDN ).
• المحتوى المختلط ، لتوضيح سياسة المتصفح المقصودة بشأن الصفحات التي يتم تحميلها عبر HTTPS وربط المحتوى عبر HTTP النصي العادي
• تحديث طلبات HTTP غير الآمنة ، مع تلميحات للمتصفحات حول كيفية التعامل مع الروابط القديمة على الصفحات التي تم ترحيلها إلى HTTPS
• إدارة بيانات الاعتماد ، وهي واجهة برمجة تطبيقات جافا سكريبت موحدة للوصول إلى بيانات اعتماد المستخدم لتسهيل مخططات تسجيل الدخول المعقدة،
• سياسة المُحيل ، امتداد CSP لتلميح المتصفح بشأن إنشاء رؤوس المُحيل . ^{[ 33 ]}

• سياسة الأصل نفسه
• NoScript – الحماية من هجمات XSS و Application Boundaries Enforcer (ABE)، إضافة لمتصفح Firefox ^{[ 34 ] [ 35 ]}
• لوحة تحكم HTTP - قواعد CSP محددة من قبل المستخدم، إضافة لمتصفح جوجل كروم ^{[ 36 ]} وأوبرا ^{[ 37 ]}
• أمان النقل الصارم لبروتوكول HTTP
• تثبيت المفتاح العام لبروتوكول HTTP

• مسودة عمل سياسة أمان المحتوى الصادرة عن اتحاد شبكة الويب العالمية (W3C)
• إرشادات الترميز الآمن لسياسة أمان المحتوى
• سياسة أمان المحتوى (CSP) على مستندات MDN الإلكترونية