会長のGoogle I/O 19 ツイートまとめ

Yosuke Furukawa @yosuke_furukawa

CSP対応していくにはどうするか？ 1. HTMLタグで直接書くような onclick属性に生やすようなものは消す 2. scriptタグにnonce対応で、属性値をつける 3. CSP headerをつける #io19jp pic.twitter.com/yJ9GyF5BH7

拡大

拡大

拡大

Yosuke Furukawa @yosuke_furukawa

CSPが正しく設定されてるかを確認するには evaluatorがあるので、それを使う。 csp-evaluator.withgoogle.com #io19jp

Yosuke Furukawa @yosuke_furukawa

そもそもどうやってXSSを起こすのか、例としては URL hashの値から得たものをそのまんまsanitizeしないでinnerHTMLに渡すケース。 これらのAPIをそのまま使うとXSSが起こせる。 #io19jp pic.twitter.com/9b7ON6LTUW

拡大

拡大

Yosuke Furukawa @yosuke_furukawa

Trusted typesというCSPの属性がある。それを使って信頼性の高いHTMLしかinnerHTMLできないようにする仕組みの紹介。 TrustedTypes objectから生成された自分のJSでしかinnerHTMLで HTMLを作れないようにする。 #io19jp pic.twitter.com/Wt3z8hrsk3

拡大

拡大

拡大

Yosuke Furukawa @yosuke_furukawa

Trusted Typesはより信頼性の高いコードしか動かなくさせる仕組み、今のところorigin trialsとして提供予定 #io19jp pic.twitter.com/EbqbRPE2H1

拡大

Yosuke Furukawa @yosuke_furukawa

#io19jp / “GitHub - WICG/trusted-types: A browser API that aims to prevent DOM-Based Cross Site Scripting in modern web applications.” htn.to/3f7KjRFHUg

Yosuke Furukawa @yosuke_furukawa

Why do we need isolation? victim.exampleを開いているつもりがCSRFやXSSやclick jackingによりページのリクエストを奪われたり偽物を開かれたりするため。 #io19jp pic.twitter.com/jtKQ1G9SBh

拡大

Yosuke Furukawa @yosuke_furukawa

最初に悪意のある方を開いて、evil.exampleから新しいウィンドウで本物victim.exampleが開かれたりする。こういうケースもある。 #io19jp pic.twitter.com/zuivtCkK3c

拡大

Yosuke Furukawa @yosuke_furukawa

偽物からfetchされたりした時にはそれがわかるようにSec-Fetch-Site、Sec-Fetch-Modeなどのヘッダーがブラウザからつく。これをチェックすればある程度セキュアに。 #io19jp pic.twitter.com/ulpcT7T0Fy

拡大

拡大

Yosuke Furukawa @yosuke_furukawa

window.openからサイトを開かれた場合にopenerが誰かによってそもそも開いていいかどうかを決めることができる。それが新しいポリシーの Cross Origin Opener Policy #io19jp pic.twitter.com/G9bwlyd8wx

拡大

拡大