Trusted Types API προστασία από DOM-based XSS

Trusted Types API: Η Google δημιούργησε ένα νέο API το οποίο θα βοηθήσει το Chrome να καταπολεμήσει ορισμένους τύπους επιθέσεων cross-site scripting (XSS), προσθέτοντας ένα άλλο επίπεδο προστασίας σε επίπεδο προγράμματος περιήγησης.

Αυτή η νέα λειτουργία ονομάζεται Trusted Types και είναι ένα API του προγράμματος περιήγησης Chrome στο οποίο εργάζεται η Google τους τελευταίους μήνες.Trusted Types API

Οι προγραμματιστές της εταιρείας σκοπεύουν να δοκιμάσουν τo Trusted Types API καθ ‘όλη τη διάρκεια του 2019, μεταξύ του Chrome 73 και του Chrome 76, πριν τo ενεργοποιήσουν σαν μόνιμη λειτουργία ασφαλείας για όλους τους χρήστες του Chrome αργότερα μέσα στο έτος.

Αυτό το νέο χαρακτηριστικό ασφάλειας αναπτύχθηκε με σκοπό την προστασία των χρηστών από έναν από τους τρεις τύπους ελαττωμάτων cross-site scripting, DOM-based (ή type-0) XSS.

Μια λεπτομερής ανάλυση των τριών τύπων XSS διατίθεται εδώ, για τους αναγνώστες που επιθυμούν να μάθουν περισσότερα για το XSS.

Βασικά, το XSS που βασίζεται στο DOM είναι μια ευπάθεια που βρίσκεται στον πηγαίο κώδικα ενός ιστότοπου. Οι hackers εκμεταλλεύονται τα λεγόμενα injection points για να εισάγουν κώδικα στο DOM του προγράμματος περιήγησης (πηγαίο κώδικα της σελίδας) για να εκτελεί ανεπιθύμητες κακόβουλες λειτουργίες, όπως η κλοπή των cookies, χειρισμό περιεχομένου σελίδας, ανακατεύθυνση χρηστών κλπ.

  Known Issue Rollback λύση στα θέματα του Windows Update

Τo Trusted Types API θα εμποδίζει τέτοιες επιθέσεις επιτρέποντας στους ιδιοκτήτες των σελίδων να κλειδώνουν γνωστά “injection points” στον κώδικα ενός ιστότοπου που συχνά αποτελούν τη βασική αιτία του XSS που βασίζεται στο DOM.

Οι διαχειριστές ιστότοπων θα μπορούν να ενεργοποιήσουν την επικείμενη προστασία του Chrome Trusted Types, δίνοντας μια συγκεκριμένη τιμή στο Content Security Policy (CSP) HTTP response header.

Μόλις ενεργοποιηθεί, η πρόσβαση στα injection points του DOM θα περιορίζεται από το ενσωματωμένο Trusted Types API του Chrome, εμποδίζοντας τυχόν επιθέσεις πριν ο κώδικας του XSS αξιοποιήσει τον πηγαίο κώδικα της σελίδας DOM για να επιτεθεί στους χρήστες.

Ένα εκπαιδευτικό σεμινάριο σχετικά για τον τρόπο που μπορούν να ενεργοποιήσουν οι ιδιοκτήτες ιστοσελίδων το Trusted Types API μέσω του Content Security Policy (CSP) HTTP response header και τον τρόπο με τον οποίο οι χρήστες μπορούν να ρυθμίσουν τον Chrome να χρησιμοποιεί  τις πρώτες εκδόσεις του API είναι διαθέσιμο στο blog των Google Developers.

Ακολουθήσετε μας στο Google News iGuRu.gr at Google news

Written by giorgos

Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ....

Αφήστε μια απάντηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται.

Το μήνυμα σας δεν θα δημοσιευτεί εάν:
1. Περιέχει υβριστικά, συκοφαντικά, ρατσιστικά, προσβλητικά ή ανάρμοστα σχόλια.
2. Προκαλεί βλάβη σε ανηλίκους.
3. Παρενοχλεί την ιδιωτική ζωή και τα ατομικά και κοινωνικά δικαιώματα άλλων χρηστών.
4. Διαφημίζει προϊόντα ή υπηρεσίες ή διαδικτυακούς τόπους .
5. Περιέχει προσωπικές πληροφορίες (διεύθυνση, τηλέφωνο κλπ).


  +  65  =  72