CSP : introduction à la stratégie de sécurité du contenu

Magazine
Marque
MISC
n°
Numéro
116
Mois de parution
juillet 2021
Auteurs
Par
Marboud Thibault
Spécialité(s)
Sécurité du code
Tag(s)
CSP
XSS
Injection
Navigateur


Résumé

Dans cet article, nous aborderons CSP, cette politique souvent mal configurée, voire complètement absente. Nous étudierons également quelques cas réels de contournement rencontrés lors de tests d’intrusion.


1. Qu’est-ce que CSP ?

CSP pour Content Security Policy, ou Politique de Sécurité du Contenu en Français, est un mécanisme de protection implémenté par les navigateurs internet dont l’un des objectifs principaux est de mitiger les vulnérabilités XSS. CSP est de plus en plus utilisé par les applications web, et c’est un mécanisme que l’on retrouve régulièrement lors de tests d’intrusion. Cependant, la configuration mise en place est souvent inefficace et facilement contournable par une personne malveillante.

L’implémentation de CSP se traduit sous la forme d’un entête renvoyé dans les réponses HTTP. Voici un exemple de réponse contenant l’entête CSP :

HTTP/2 200
date: Tue, 22 Sep 2020 16:42:24 GMT
content-type: text/html; charset=UTF-8
cache-control: max-age=300, public
content-security-policy: default-src 'none'; base-uri …
La suite est réservée aux abonnés. Il vous reste 96% à découvrir.
  • Accédez à tous les contenus de Connect en illimité
  • Découvrez des listes de lecture et des contenus Premium
  • Consultez les nouveaux articles en avant-première
Envie de lire la suite ? Rejoignez Connect
Je m'abonne maintenant


Article rédigé par

Marboud Thibault
Marboud Thibault
1 articles

Les listes de lecture

Sécurité Windows : Active Directory
11 article(s) - ajoutée le 01/07/2020
Sécurité réseau
Clé de voûte d'une infrastructure Windows, Active Directory est l'une des cibles les plus appréciées des attaquants. Les articles regroupés dans cette liste vous permettront de découvrir l'état de la menace, les attaques et, bien sûr, les contre-mesures.
Sécurité des mobiles
8 article(s) - ajoutée le 13/10/2020
Mobilité Sécurité système
Découvrez les méthodologies d'analyse de la sécurité des terminaux mobiles au travers d'exemples concrets sur Android et iOS.
Cryptographie appliquée
10 article(s) - ajoutée le 13/10/2020
Crypto
Vous retrouverez ici un ensemble d'articles sur les usages contemporains de la cryptographie (whitebox, courbes elliptiques, embarqué, post-quantique), qu'il s'agisse de rechercher des vulnérabilités ou simplement comprendre les fondamentaux du domaine.
Plus de listes de lecture