CSP は注入を止めない — 起きたあとに、実行してよいものへ印を付ける

CSP は XSS を防ぐ仕組みだと紹介されがちですが、仕様の序文は位置づけを先に断っています。

CSP is not intended as a first line of defense against content injection vulnerabilities. Instead, CSP is best used as defense-in-depth. It reduces the harm that a malicious injection can cause, but it is not a replacement for careful input validation and output encoding.

注入を入口で止めるのは、『セキュリティとAIの仕組み』の「なぜ入力がコードになるのか」で見た、データをコードとして解釈させない処理のほうです。CSP は、それが漏れて注入が起きた後に効く層です。

では何を手がかりに絞るのか。元の方式は許可リストでした。OWASP は The original mechanism for building a CSP involved creating allow-lists と書き、続けて current leading practice is to create a "Strict" CSP としています。

許可リストは、スクリプトをどこから来たかで判断します。仕様 §8.2(非規範)は、この方式の限界をこう書きます。

Host- and path-based policies are tough to get right, especially on sprawling origins like CDNs. ... those lists end up being brittle, awkward, and difficult to implement and maintain.

2016年の論文 "CSP Is Dead, Long Live CSP!" は、検索エンジンのコーパスから集めた 26,011 の異なるポリシーについて bypasses in 94.72% of all distinct policies と報告しました。2016年のこの集合での値で、今の Web 全体の割合ではありません。構造としては、リストに載せたホストが任意のスクリプトを返せる機能を持っていれば、出所が正しくても中身は選べない、ということです。

そこで印を使います。サーバは応答ごとに推測できない値(nonce)を作り、ヘッダと、自分で書いた script の両方に書きます。ブラウザは両者を照合します。

仕様 §7.1 は nonce の作り方を規定しています。

If a server delivers a nonce-source expression as part of a policy, the server MUST generate a unique value each time it transmits a policy. The generated value SHOULD be at least 128 bits long (before encoding), and SHOULD be generated via a cryptographically secure random number generator

攻撃側が作れない値をサーバが要求ごとに配る、という点で CSRF トークンと同じ形です。ただし CSP の nonce はページに書かれます。同じ節の注記はこうです。

An attacker who can gain access to the nonce can execute whatever script they like, whenever they like.

秘密だから安全なのではありません。ページの外からは当てられないことが価値です。

もう1つの弱点は、印を付ける側にあります。OWASP は __Don't__ create a middleware that replaces all script tags with "script nonce=..." because attacker-injected scripts will then get the nonces as well. と警告します。組み上がった HTML の中では、自分が書いた script と紛れ込んだ script は見分けられません。印は、テンプレートがまだ区別を知っている段階で付けるしかありません。

仕様 §8.5(非規範)は、script-src を nonce か hash と 'strict-dynamic' で、base-uri を 'self' か 'none' で書いたものを Strict CSP と呼びます。ただし同じ節に it should be avoided when possible という 'strict-dynamic' への注記もあり、「仕様が strict-dynamic を推奨している」とだけ言うと半分落ちます。