Установить политику безопасности контента для iframe? - PullRequest
0 голосов
/ 27 декабря 2018

Есть ли способ для потребительского веб-сайта (например, nytimes.com) убедиться, что загружаемый фрейм НЕ сможет взаимодействовать с ahy серверами и будет иметь доступ только к postMessage?Это можно сделать с сервера, на котором размещен документ iframe.Но я не хочу доверять этому серверу.

Вот что мне нужно для этого: я хочу хранить не извлекаемые асимметричные ключи с использованием subtle-crypto, загрузить статический HTML с помощью встроенного JS, который былпроверенный третьими лицами, я уверен, что это то, что было загружено с использованием SRI, и, наконец, передать ему некоторые данные, отправив postMessage, и ЗАКРЫТЬ ДВЕРЬ в этом sanbox, переопределив postMessag, чтобы ГАРАНТИРОВАТЬ пользователя пользовательского агента, что любые данныеРасшифровка и отображение с этого момента не могут быть переданы кому-либо еще (при условии, что пользовательский агент следует веб-стандартам).

Как ПОЛЬЗОВАТЕЛЬ узнает, что он может доверять iframe?Потому что iframe будет отображать какую-то знакомую строку, которую они выбрали, расшифровывается с помощью того же закрытого ключа, после того, как дверь закрыта.Поскольку его нельзя извлечь, ни один сервер не может его расшифровать, поэтому это должна быть проверенная безопасная среда HTML + JS, которой доверяет пользователь.

Но как пользователь и сайт встраивания могут проверить и УВЕРЕНЫ, что такое содержимоеПолитика безопасности iframe - *

1 Ответ

0 голосов
/ 27 декабря 2018

Хорошо, получается, что HTML имеет метатег «http-эквивалент», который может устанавливать Политику безопасности содержимого этого документа HTML.И вмещающий сайт может использовать SRI, чтобы удостовериться, что он загружает документ, который он ранее проверял.

Так что заботится о доверии вмещающим сайтом.Однако я не уверен, как пользователь основного браузера может проверить

  • Загруженный документ iframe совпадает с документом, загруженным ранее (целостность подресурса видима для пользователя)

  • Загруженный документ iframe имеет правильную Политику безопасности контента, если только он не просматривает источник.

Возможно, кто-то может решить две вышеупомянутые проблемы, как пользователь может доверятьзагружен документ и дверь закрыта.В Интернете очень трудно не доверять серверам в Интернете, чтобы сговариваться и изменять код в любое время.

...