Насколько безопасна «та же политика происхождения»?

Question

Мне известно, что для чтения содержимого iframe домены, протоколы и порты должны совпадать.

Однако этого достаточно, чтобы гарантировать, что «неизвестный вредоносный веб-сайт» не сможет получитьпреодолеть это ограничение?

По сути, я беспокоюсь, что очень умный анонимный хакер сможет разместить iframe на своем сайте HIS, указав URL-адрес iframe на моей веб-странице и извлечь содержимое моей веб-страницы.

Answer 1

Это ресурс, который вы ищете:

https://code.google.com/p/browsersec/wiki/Part2#Same-origin_policy

Это довольно подробно, но в этом суть.Это на самом деле несколько лет назад, поэтому вы не найдете там и IE9.

В нем подробно рассказывается об основных браузерах / поставщиках и о том, каковы их конкретные правила SOP.Например, что контролирует DOM, какие заголовки HTTP можно делать, что можно делать с файлами cookie и т. Д.

Answer 2

Та же самая политика происхождения применяется только к людям, у которых она включена в их браузерах.Браузеры разрешают междоменный доступ, если человек отключает функцию безопасности.

Если вы используете frame buster , вы можете ограничить атаку, но нет никакой возможности на 100% защитить себя, когда пользователь снимает защиту.

Answer 3

Та же оригинальная политика исторически хорошо защищала секреты, связанные с доменом, но XSS и другие инъекционные атаки широко распространены на определенных типах веб-сайтов, особенно социальных, которые смешивают контент из разных источников.Файлы cookie HTTPOnly - это достойный способ защиты от кражи учетных данных одного типа с помощью внедрения, но только в относительно современных браузерах.

Политика одного и того же источника не предотвращает злоупотребления полномочиями, не связанные с секретами, связанными с доменом..

1. Диск загрузки вредоносных программ, например, тех, которые затронули NYTimes
2. Анализ истории для создания досье личной информации в браузерах.
3. Интранет сканирование портов , чтобы узнать о локальных сетях.
4. Фишинг для перенаправления на поддельную версию сайта для кражи учетных данных.

Эти атаки можно комбинировать.Умный злоумышленник может использовать отслеживание истории, чтобы обнаружить, что пользователь использует ваш веб-сайт, а затем отправить его пользователю, чтобы получить доступ к учетным данным для вашего сайта.Одна и та же политика происхождения не помешает этому, хотя некоторые браузеры реализовали специальные средства защиты; В Mozilla реализованы меры защиты от прослушивания истории .

Answer 4

Политика одинакового происхождения очень безопасна, и без нее интернет развалится. То, что вы описываете, является явным нарушением Правил наследования . Для дополнительной безопасности я бы установил x-frame-options, чтобы предотвратить взлом .

Answer 5

Такая же политика происхождения предназначена для защиты пользователей, посещающих другой сайт, от атак на ваш сайт в стиле XSRF .Он никоим образом не предназначен для защиты контента на вашем сайте (например, iframes или прокси-сервер позволят загрузить ваш контент на другую веб-страницу).

Например, если вы работаете на банковском сайтеэто защитит человека, который посещает evil.com, от автоматического перевода всех своих средств на оффшорный счет с помощью запроса AJAX, поскольку запрос был бы отправлен из другого домена.

Поэтому важно понимать, чтополитика применяется браузером, а не сервером.Если пользователь должен отключить политику в своем браузере, он только открывает себя для потенциальных атак.Однако это не влияет на безопасность вашего контента.