Content security policy (CSP)-som har standardiserats av W3C och antagits av alla större kommersiella webbläsare-är en av de mest lovande metoder för att försvara mot skript (XSS) attacker. Även klient-side antagandet av CSP är framgångsrik, server-side adoption är långt bakom klientsidan: enligt en storskalig undersökning, mindre än 0,002% av Alexa Top 1M webbplatser aktiverade CSP. För att underlätta antagandet av CSP föreslår vi CSPAutoGen för att möjliggöra CSP i realtid, utan serverändringar, och att vara kompatibel med verkliga webbplatser. Specifikt, CSPAutoGen tränar så kallade mallar för varje domän, genererar CSPs baserat på mallarna, skriver om inkommande webbsidor i farten för att tillämpa de genererade CSPs, och sedan betjänar dessa omskrivna webbsidor till klient webbläsare. CSPAutoGen är utformad för att automatiskt genomdriva den säkraste och strängaste versionen av CSP utan att aktivera "osäkra-inline" och "osäkra-eval", dvs CSPAutoGen kan hantera alla inline och dynamiska skript. Vi har implementerat en prototyp av CSPAutoGen, och vår utvärdering visar att CSPAutoGen kan korrekt göra alla Alexa Top 50 webbplatser. Dessutom genomför vi omfattande fallstudier på fem populära webbplatser, vilket tyder på att CSPAutoGen kan bevara funktionerna bakom inloggningen, såsom att skicka e-post och skicka kommentarer. Vår säkerhetsanalys visar att CSPAutoGen kan försvara sig mot alla testade verkliga XSS-attacker.
- Pan et al. - Vad är det? REF föreslår CSPAutoGen, att genomdriva CSP i realtid på webbsidor, genom att skriva om dem på fly klient-sidan.
CSPAutoGen: Black-box Enforcement of Content Security Policy upon Real-world Websites
{'venue': "CCS '16", 'journal': None, 'mag_field_of_study': ['Computer Science']}