Выбор ответа Senior XSS и CSP обновлено
CSP с nonce
Вопрос
Как работает директива script-src 'nonce-abc123'?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Выполняются только скрипты с nonce="abc123", значение новое на каждый ответ. Внедрённый атакующим <script не знает текущего nonce и не выполнится.
Варианты ответа
- Браузер выполняет только скрипты, SHA-256 хеш которых равен abc123
- Выполняются только скрипты с
nonce="abc123", значение новое на каждый ответправильный ответ - Nonce задаётся один раз в конфиге сервера и одинаков для всех страниц сайта
- Nonce шифрует инлайновые скрипты при передаче, и их нельзя подменить
Разбор
Внедрённый атакующим <script> не знает текущего nonce и не выполнится. Если nonce статичный, атакующий его просто скопирует, и защита пропадает. Для хешей есть отдельный синтаксис 'sha256-...'. К шифрованию nonce отношения не имеет.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.