Hash tabanlı CSP nasıl yapılandırılır?
Gelişen web güvenliği standartları ve potansiyel saldırı vektörleri göz önüne alındığında, Content Security Policy (CSP) uygulamalarında hash tabanlı yaklaşımlar önemli bir yer tutar. Bu yöntem, belirli içeriklerin (script, style gibi) yalnızca önceden belirlenmiş hash değeriyle çalışmasına izin vererek, XSS ve benzeri saldırılara karşı ek güvenlik sağlar.
İlk olarak, hash tabanlı CSP'nin temel mantığını anlamak gerekir. Bu yöntemde, içeriklerin belirli ve değişmez hale getirilmiş hash değeri (SHA-256, SHA-384 veya SHA-512 gibi algoritmalar kullanılır) ile kontrol edilmesi söz konusudur. Bu sayede, içerik yüklenirken, sunucu tarafından sağlanan hash değeri ile sayfada kullanılan içeriğin hash değeri karşılaştırılır; eşleşme sağlanmazsa, içerik engellenir.
Uygulama adımlarına örnek vermek gerekirse:
- İçeriği belirle ve hash hesapla:
Örneğin, bir inline script veya stil kodu olsun. Bunun SHA-256 hash değerini almak için OpenSSL veya başka araçlar kullanılabilir. Diyelim ki, script şu:
12
console.log('Güvenli script');
- Hash değeri oluştur:
OpenSSL komut satırı örneği:
12
echo -n "console.log('Güvenli script');" | openssl dgst -sha256 -binary | openssl base64
Bu komut size hash değerini verir.
- CSP Header veya Meta tag'e ekle:
Hash değeri ile birlikte, CSP şu şekilde yapılandırılır:
12
Content-Security-Policy: script-src 'sha256-';
Örneğin:
12
Content-Security-Policy: script-src 'sha256-XxYzAbCdEfGhIjKlMnOpQrStUvWxYz1234567890=';
- Dinamik içerik ve inline kodlar:
Hash kullanımı, inline kodların güvenliğini sağlar ve sayfa güncellemeleri sırasında hash değeri yeniden hesaplanıp güncellenebilir. Bu, özellikle statik içeriklerin güvenliğini artırır.
Hash tabanlı CSP'nin avantajları arasında, içerik değişmediği sürece sürekli güncellemeye gerek kalmadan güvenlik sağlanması ve belirli içeriklerin izinli olarak çalışması yer alır. Ancak, içerik değişiklikleri halinde, hash değerlerinin yeniden hesaplanması ve güncellenmesi gerekir.
Bu yapılandırmayı uygularken dikkat edilmesi gerekenler, hatalı hash kullanımı nedeniyle içeriklerin engellenmesi ve potansiyel güvenlik açıklarının oluşmasını önlemek adına doğru hesaplama ve test süreçlerinin yürütülmesidir.
Düzenli olarak, CSP politikalarının ve hash değerlerinin güncel olduğundan emin olmak, güvenlik açısından kritik önemdedir.
