Firefox rustes mot angrep

[abene]

Mozilla utvikler ny teknologi som skal kunne beskytte Firefox mot angrep.

 

Les mer

[ventle]

Det burde vel kanskje vært presisert at det kreves endringer i HTML-koden for å kunne dra nytte av CSP, nettsider som ikke har en CSP-header i koden kan fortsatt vises som vanlig, bare uten denne ekstra sikkerheten (jeg forsto i hvertfall ikke dette da jeg leste artikkelteksten, om man måtte endre koden for å dra nytte av det eller om man måtte endre koden for å i det hele tatt kunne vises i en CSP-aktivert nettleser).

 

Jeg fant forklaringen på siden det linkes til:

 

Compatibility

 

Content Security Policy will be fully backward compatible and will not affect sites or browsers which don't support it. Non-supporting browsers will disregard the Content Security Policy header and will default to the standard Same-Origin policy for webpage content. In the absence of the Content Security Policy header, supporting browsers will also fall-back to the Same-Origin policy. Website administrators can define Content Security Policy without fear of web compatibility issues.

 

I tilfelle det var fler som lurte

[Bakkem]

Gode nyheter

 

Og takk til ventle, jeg forsto det som om de måtte forandre html koden for at siden i det hele tatt skulle fungere.

[johome]

I hvilken versjon av Firefox kommer dette ?

[G]

Kommentar: artikkelen forteller her om noe som skal bedre sikkerheten. Det virker litt uklart hvordan sikkerheten blir bedre av dette. Jeg forstår overskriften, men sliter litt med å forstå helt hvordan det fungerer i praksis for webutviklere og brukerne (spesiellt brukerne).

[ventle]

Med CSP kan man definere fra hvilke sider (url'er) siden din kan hente innhold fra (hvitelisting, alle er svartelistet by default) (bilder, javascript, flash, lyd- og videoinnhold), samt hvilke andre sider (urler) som har lov til å inkludere din side i sine sider vha frames/iframes).

 

Slemme nettsider kan ha en frame som dekker hele vinduet med din side inni, slik at brukeren ikke ser at siden er innbakt i en annen, så kan man ha en annen, usynlig frame der noe ondsinnet javascript for eksempel fanger opp brukernavn/passord eller videresender brukeren til andre steder enn de linkene han egentlig klikket på. CSP forsøker å gjøre dette umulig.