A proxy tartalomátírás korlátozása no-transform és HTTPS használatával

A tartalmat átalakító proxy megváltoztathatja a választ a böngésző felé vezető úton: újratömöríthet egy képet, átírhatja a jelölőnyelvet vagy támogató JavaScriptet szúrhat be. Egy oldal, amely az egyik hálózaton működik, a másikon pedig ismeretlen jelölést kap, épp ezzel a köztes viselkedéssel találkozhat.

Az Ön által üzemeltetett webhelyhez a HTTP egyértelmű válaszdirektívát biztosít:

Cache-Control: no-transform

Az RFC 9111 előírja, hogy az ezt a válaszdirektívát fogadó köztes fél a tartalmat átalakítatlanul hagyja, függetlenül attól, hogy megvalósít-e gyorsítótárat. Ez a képek újratömörítésére és a jelölés befecskendezésére vonatkozik, nem csupán arra, hogy egy objektum tárolásra kerül-e.

Tartsa meg a meglévő gyorsítótár-szabályzattal együtt

Ha a válasznak már vannak gyorsítótár-direktívái, tudatosan adja hozzá a követelményt ahelyett, hogy a szabályzat többi részét eldobná. Például egy nyilvánosan gyorsítótárazható erőforrás így nézhet ki:

Cache-Control: public, max-age=3600, no-transform

Ez a példa megőrzi az egyórás frissességi szabályzatot, miközben tiltja a tartalom átalakítását. A no-transform nem jelent no-store, és nem kapcsolja ki a szokásos átviteli feldolgozást. Állítsa be azokon a válaszokon, amelyek eredeti tartalma számít, beleértve a külön képi válaszokat is, ahol ez megfelelő.

A direktíva a köztes fél betartásán keresztül működik. Kriptográfiailag nem akadályozza meg, hogy egy hálózati eszköz figyelmen kívül hagyja az utasítást.

Az átvitelt is védje

A HTTPS hitelesítéssel és integritásvédelemmel ellátott kapcsolatot ad a böngészőnek a TLS-társa felé. Egy közönséges szolgáltatói proxy, amely titkosított forgalmat enged át, nem tud csendben szkriptet beszúrni abba a védett kapcsolatba. Tartsa bekapcsolva a tanúsítvány-ellenőrzést; a TLS-t lezáró, helyben megbízható vizsgálóproxy más elrendezés.

Szolgálja ki az oldalt és a függő erőforrásait HTTPS-en. Irányítsa át a HTTP-látogatókat HTTPS-re, és fontolja meg a HSTS-t olyan telepítésnél, amely azt következetesen támogatni tudja. Az átirányítás önmagában védtelen HTTP-cserével kezdődik egy HTTP URL-t használt látogató számára; egy korábban megtanult vagy előre betöltött HSTS-szabályzat megváltoztatja ezt a kezdeti választást.

A befecskendezett szkript blokkolása csökkentheti annak látható hatásait, de a válasz már tartalmazhat megváltoztatott HTML-t vagy átírt kép-URL-eket. Egyetlen régi függvénynév lecserélése, szokatlan megjegyzés hozzáadása vagy egy történelmi befecskendezési cím leképezése nem teremt tartalmi integritást a következő köztes fél számára.

Egy jelentés kivizsgálásakor hasonlítsa össze a kapott választ az eredet szándékolt tartalmával, és azonosítsa, hol végződik a TLS. Ez a bizonyíték hasznosabb, mint minden ismeretlen szkriptet a webhely saját alkalmazáskódjának hibájaként kezelni.