Ders 3.10: Üçüncü taraf betikleri ve Alt Kaynak Bütünlüğü
Başkasının sunucusunu gösteren her betik etiketi, onun dosyasının asla zararlı biçimde değişmeyeceğine dair bir sözdür. Alt Kaynak Bütünlüğü (SRI) bu sözü bir denetime dönüştürür: sayfa beklediği dosyanın tam özetini taşır ve tarayıcı başka her şeyi reddeder. Laboratuvarda carousel kütüphanesinin CDN kopyasının satıcının sürümünden farklı olduğunu kanıtlıyor, enjekte edilen satırı görüyor, gerçek dosyanın SHA-384 bütünlük değerini hesaplıyor, betik etiketini sabitliyor ve PCI DSS v4.0'ın istediği ödeme sayfası betik envanterini oluşturuyorsun.
16 dk
Bu derste öğreneceklerin
- Üçüncü taraf betiklerinin riskini açıklamak
- Sunulan bir dosyayı bilinen iyi bir sürümle karşılaştırmak
- Bir SRI özeti hesaplamak
- Bir betiği integrity ve crossorigin ile sabitlemek
- Ödeme sayfası betiklerinin envanterini çıkarmak (PCI DSS 6.4.3)
Temel terimler
- Alt Kaynak Bütünlüğü (SRI)
- Bir özet içeren integrity özniteliği; tarayıcı içeriği eşleşmeyen bir betiği ya da stil sayfasını reddeder.
- crossorigin="anonymous"
- Dosyayı CORS ile ve çerezsiz getirir; böylece tarayıcı bütünlüğünü denetleyebilir.
- Bilinen iyi kopya
- Eklendiği anda doğrulanmış sürüm (imzalı sürüm, kilit dosyası özeti).
- PCI DSS v4.0 6.4.3 / 11.6.1
- Ödeme sayfası betikleri yetkilendirilmiş, gerekçelendirilmiş, bütünlüğü güvencede olmalı ve değişiklikler tespit edilmeli.
- Kendi sunucunda barındırma
- Bir üçüncü taraf kütüphaneyi doğruladıktan sonra kendi kökeninden sunmak.
← Parolaları saklamak ve doğrulamak · Tüm dersler · Parola püskürtme ve kilitlenme ilkesi →