Skirtingų kilmės šaltinių izoliacija: JavaScript SharedArrayBuffer apsauga

Nuolat besikeičiančiame žiniatinklio kūrimo pasaulyje saugumas išlieka svarbiausiu prioritetu. Galingų funkcijų, tokių kaip SharedArrayBuffer JavaScript kalboje, įdiegimas atnešė reikšmingų našumo patobulinimų, bet kartu atvėrė naujų galimų saugumo spragų. Siekiant sumažinti šias rizikas, buvo pristatyta skirtingų kilmės šaltinių izoliacijos (angl. Cross-Origin Isolation, COOP/COEP) koncepcija. Šiame straipsnyje gilinamasi į skirtingų kilmės šaltinių izoliacijos subtilybes, jos ryšį su SharedArrayBuffer, saugumo pasekmes ir kaip ją efektyviai įdiegti savo žiniatinklio programose.

SharedArrayBuffer supratimas

SharedArrayBuffer yra JavaScript objektas, leidžiantis keliems agentams (pvz., „Web Workers“ ar skirtingiems naršyklės kontekstams) pasiekti ir keisti tą pačią atmintį. Tai leidžia efektyviai dalytis duomenimis ir vykdyti lygiagretų apdorojimą, kas yra ypač naudinga skaičiavimams imlioms užduotims, tokioms kaip vaizdų apdorojimas, vaizdo įrašų kodavimas/dekodavimas ir žaidimų kūrimas.

Pavyzdžiui, įsivaizduokite naršyklėje veikiančią vaizdo įrašų redagavimo programą. Naudojant SharedArrayBuffer, pagrindinė gija ir keli „Web Workers“ gali vienu metu dirbti su skirtingais vaizdo įrašo kadrais, žymiai sumažindami apdorojimo laiką.

Tačiau galimybė dalytis atmintimi tarp skirtingų kilmės šaltinių (domenų) kelia potencialias saugumo rizikas. Pagrindinis susirūpinimas yra laiko atakų (angl. timing attacks), tokių kaip „Spectre“, išnaudojimas.

„Spectre“ pažeidžiamumas ir jo poveikis

„Spectre“ yra spekuliatyvaus vykdymo pažeidžiamumų klasė, paveikianti šiuolaikinius procesorius. Šie pažeidžiamumai leidžia kenkėjiškam kodui potencialiai pasiekti duomenis, prie kurių jis neturėtų turėti prieigos, įskaitant jautrią informaciją, saugomą procesoriaus talpykloje (angl. cache).

Žiniatinklio naršyklių kontekste „Spectre“ gali būti išnaudotas kenkėjišku JavaScript kodu, siekiant nutekinti duomenis iš kitų svetainių ar net iš pačios naršyklės. SharedArrayBuffer, kai nėra tinkamai izoliuotas, gali būti naudojamas tiksliai išmatuoti operacijų laiką, todėl lengviau išnaudoti „Spectre“ tipo pažeidžiamumus. Kruopščiai sukūręs JavaScript kodą, kuris sąveikauja su SharedArrayBuffer, ir stebėdamas laiko skirtumus, užpuolikas potencialiai galėtų nuspėti procesoriaus talpyklos turinį ir išgauti jautrią informaciją.

Apsvarstykite scenarijų, kai vartotojas apsilanko kenkėjiškoje svetainėje, kurioje veikia JavaScript kodas, skirtas išnaudoti „Spectre“. Be skirtingų kilmės šaltinių izoliacijos šis kodas potencialiai galėtų nuskaityti duomenis iš kitų svetainių, kurias vartotojas aplankė toje pačioje naršyklės sesijoje, pavyzdžiui, banko duomenis ar asmeninę informaciją.

Skirtingų kilmės šaltinių izoliacija (COOP/COEP) – išeitis

Skirtingų kilmės šaltinių izoliacija yra saugumo funkcija, kuri sumažina rizikas, susijusias su SharedArrayBuffer ir „Spectre“ tipo pažeidžiamumais. Ji iš esmės sukuria griežtesnę saugumo ribą tarp skirtingų svetainių ir naršyklės kontekstų, užkertant kelią kenkėjiškam kodui pasiekti jautrius duomenis.

Skirtingų kilmės šaltinių izoliacija pasiekiama nustatant dvi HTTP atsakymo antraštes:

• Cross-Origin-Opener-Policy (COOP): Ši antraštė kontroliuoja, kurie kiti dokumentai gali atidaryti dabartinį dokumentą kaip iššokantįjį langą (angl. popup). Nustačius ją į same-origin arba same-origin-allow-popups, dabartinis kilmės šaltinis yra izoliuojamas nuo kitų kilmės šaltinių.
• Cross-Origin-Embedder-Policy (COEP): Ši antraštė neleidžia dokumentui įkelti skirtingos kilmės išteklių, kurie aiškiai nesuteikia dokumentui leidimo juos įkelti. Nustačius ją į require-corp, reikalaujama, kad visi skirtingos kilmės ištekliai būtų gaunami su įjungtu CORS (angl. Cross-Origin Resource Sharing), o HTML žymėse, kurios įterpia tuos išteklius, turi būti naudojamas crossorigin atributas.

Nustatydami šias antraštes, jūs efektyviai izoliuojate savo svetainę nuo kitų svetainių, todėl užpuolikams tampa žymiai sunkiau išnaudoti „Spectre“ tipo pažeidžiamumus.

Kaip veikia skirtingų kilmės šaltinių izoliacija

Išsiaiškinkime, kaip COOP ir COEP veikia kartu, kad būtų pasiekta skirtingų kilmės šaltinių izoliacija:

Cross-Origin-Opener-Policy (COOP)

COOP antraštė kontroliuoja, kaip dabartinis dokumentas sąveikauja su kitais dokumentais, kuriuos jis atidaro kaip iššokančiuosius langus arba kurie jį atidaro kaip iššokantįjį langą. Ji turi tris galimas reikšmes:

• unsafe-none: Tai yra numatytoji reikšmė, leidžianti dokumentą atidaryti bet kuriam kitam dokumentui. Tai iš esmės išjungia COOP apsaugą.
• same-origin: Ši reikšmė izoliuoja dabartinį dokumentą, kad jį galėtų atidaryti tik tos pačios kilmės dokumentai. Jei kitos kilmės dokumentas bandys atidaryti dabartinį dokumentą, jis bus užblokuotas.
• same-origin-allow-popups: Ši reikšmė leidžia tos pačios kilmės dokumentams atidaryti dabartinį dokumentą kaip iššokantįjį langą, tačiau neleidžia to daryti skirtingos kilmės dokumentams. Tai naudinga scenarijams, kai reikia atidaryti tos pačios kilmės iššokančiuosius langus.

Nustatydami COOP į same-origin arba same-origin-allow-popups, jūs užkertate kelią skirtingos kilmės dokumentams pasiekti jūsų svetainės lango objektą, o tai sumažina atakos galimybes.

Pavyzdžiui, jei jūsų svetainėje nustatyta COOP reikšmė same-origin, ir kenkėjiška svetainė bando atidaryti jūsų svetainę iššokančiajame lange, kenkėjiška svetainė negalės pasiekti jūsų svetainės window objekto ar jo savybių. Tai neleidžia kenkėjiškai svetainei manipuliuoti jūsų svetainės turiniu ar vogti jautrios informacijos.

Cross-Origin-Embedder-Policy (COEP)

COEP antraštė kontroliuoja, kuriuos skirtingos kilmės išteklius gali įkelti dabartinis dokumentas. Ji turi tris pagrindines reikšmes:

• unsafe-none: Tai yra numatytoji reikšmė, leidžianti dokumentui įkelti bet kokį skirtingos kilmės išteklių. Tai iš esmės išjungia COEP apsaugą.
• require-corp: Ši reikšmė reikalauja, kad visi skirtingos kilmės ištekliai būtų gaunami su įjungtu CORS, o HTML žymėse, kurios įterpia tuos išteklius, turi būti naudojamas crossorigin atributas. Tai reiškia, kad serveris, talpinantis skirtingos kilmės išteklių, turi aiškiai leisti jūsų svetainei įkelti tą išteklių.
• credentialless: Panašus į `require-corp`, bet užklausoje nesiunčia kredencialų (slapukų, autorizacijos antraščių). Tai naudinga įkeliant viešus išteklius, nenutekinant vartotojui specifinės informacijos.

Reikšmė require-corp yra saugiausias variantas ir rekomenduojamas daugeliu atvejų. Ji užtikrina, kad visi skirtingos kilmės ištekliai būtų aiškiai autorizuoti įkelti jūsų svetainėje.

Naudodami require-corp, turite užtikrinti, kad visi skirtingos kilmės ištekliai, kuriuos įkelia jūsų svetainė, būtų pateikiami su atitinkamomis CORS antraštėmis. Tai reiškia, kad serveris, talpinantis išteklių, savo atsakyme turi įtraukti Access-Control-Allow-Origin antraštę, nurodydamas jūsų svetainės kilmės šaltinį arba * (kas leidžia bet kuriam kilmės šaltiniui įkelti išteklių, bet paprastai nerekomenduojama dėl saugumo priežasčių).

Pavyzdžiui, jei jūsų svetainė įkelia vaizdą iš CDN, CDN serveris savo atsakyme turi įtraukti Access-Control-Allow-Origin antraštę, nurodydamas jūsų svetainės kilmės šaltinį. Jei CDN serveris neįtrauks šios antraštės, vaizdas nebus įkeltas, ir jūsų svetainėje bus rodoma klaida.

crossorigin atributas naudojamas HTML žymėse, tokiose kaip <img>, <script> ir <link>, norint nurodyti, kad išteklius turėtų būti gaunamas su įjungtu CORS. Pavyzdžiui:

<img src="https://example.com/image.jpg" crossorigin="anonymous">
<script src="https://example.com/script.js" crossorigin="anonymous">

Reikšmė anonymous nurodo, kad užklausa turėtų būti pateikta nesiunčiant kredencialų (pvz., slapukų). Jei reikia siųsti kredencialus, galite naudoti reikšmę use-credentials, tačiau taip pat turite užtikrinti, kad serveris, talpinantis išteklių, leistų siųsti kredencialus, įtraukdamas Access-Control-Allow-Credentials: true antraštę į savo atsakymą.

Skirtingų kilmės šaltinių izoliacijos įdiegimas

Skirtingų kilmės šaltinių izoliacijos įdiegimas apima COOP ir COEP antraščių nustatymą jūsų serverio atsakymuose. Konkretus šių antraščių nustatymo būdas priklauso nuo jūsų serverio technologijos.

Įdiegimo pavyzdžiai

Štai keletas pavyzdžių, kaip nustatyti COOP ir COEP antraštes skirtingose serverio aplinkose:

Apache

Pridėkite šias eilutes į savo .htaccess failą:

Header set Cross-Origin-Opener-Policy "same-origin"
Header set Cross-Origin-Embedder-Policy "require-corp"

Nginx

Pridėkite šias eilutes į savo Nginx konfigūracijos failą:

add_header Cross-Origin-Opener-Policy "same-origin";
add_header Cross-Origin-Embedder-Policy "require-corp";

Node.js (Express)

app.use((req, res, next) => {
  res.setHeader("Cross-Origin-Opener-Policy", "same-origin");
  res.setHeader("Cross-Origin-Embedder-Policy", "require-corp");
  next();
});

Python (Flask)

@app.after_request
def add_security_headers(response):
    response.headers['Cross-Origin-Opener-Policy'] = 'same-origin'
    response.headers['Cross-Origin-Embedder-Policy'] = 'require-corp'
    return response

PHP

header('Cross-Origin-Opener-Policy: same-origin');
header('Cross-Origin-Embedder-Policy: require-corp');

Nepamirškite pritaikyti šių pavyzdžių savo konkrečiai serverio aplinkai ir konfigūracijai.

Skirtingų kilmės šaltinių izoliacijos patikrinimas

Įdiegus skirtingų kilmės šaltinių izoliaciją, labai svarbu patikrinti, ar ji veikia teisingai. Tai galite padaryti patikrinę COOP ir COEP antraštes savo naršyklės kūrėjo įrankiuose. Atidarykite skirtuką „Network“ ir patikrinkite savo svetainės pagrindinio dokumento atsakymo antraštes. Turėtumėte matyti Cross-Origin-Opener-Policy ir Cross-Origin-Embedder-Policy antraštes su jūsų sukonfigūruotomis reikšmėmis.

Taip pat galite naudoti crossOriginIsolated savybę JavaScript kalboje, kad patikrintumėte, ar jūsų svetainė yra izoliuota pagal kilmės šaltinį:

if (crossOriginIsolated) {
  console.log("Skirtingų kilmės šaltinių izoliacija įjungta.");
} else {
  console.warn("Skirtingų kilmės šaltinių izoliacija NĖRA įjungta.");
}

Jei crossOriginIsolated yra true, tai reiškia, kad skirtingų kilmės šaltinių izoliacija yra įjungta, ir galite saugiai naudoti SharedArrayBuffer.

Dažniausių problemų sprendimas

Skirtingų kilmės šaltinių izoliacijos įdiegimas kartais gali būti sudėtingas, ypač jei jūsų svetainė įkelia daug skirtingos kilmės išteklių. Štai keletas dažniausių problemų ir kaip jas spręsti:

• Ištekliai neįkeliami: Jei naudojate COEP: require-corp, įsitikinkite, kad visi skirtingos kilmės ištekliai yra pateikiami su teisingomis CORS antraštėmis (Access-Control-Allow-Origin) ir kad naudojate crossorigin atributą HTML žymėse, kurios įterpia tuos išteklius.
• Mišraus turinio klaidos: Užtikrinkite, kad visi ištekliai būtų įkeliami per HTTPS. HTTP ir HTTPS išteklių maišymas gali sukelti saugumo įspėjimus ir neleisti ištekliams įsikelti.
• Suderinamumo problemos: Senesnės naršyklės gali nepalaikyti COOP ir COEP. Apsvarstykite galimybę naudoti funkcijos aptikimo biblioteką arba „polyfill“ biblioteką, kad suteiktumėte atsarginį elgesį senesnėms naršyklėms. Tačiau visos saugumo naudos pasiekiamos tik palaikančiose naršyklėse.
• Poveikis trečiųjų šalių scenarijams: Kai kurie trečiųjų šalių scenarijai (angl. scripts) gali būti nesuderinami su skirtingų kilmės šaltinių izoliacija. Kruopščiai išbandykite savo svetainę po skirtingų kilmės šaltinių izoliacijos įdiegimo, kad užtikrintumėte, jog visi trečiųjų šalių scenarijai veikia teisingai. Gali tekti susisiekti su trečiųjų šalių scenarijų tiekėjais ir paprašyti palaikymo CORS ir COEP.

SharedArrayBuffer alternatyvos

Nors SharedArrayBuffer siūlo reikšmingų našumo pranašumų, tai ne visada yra geriausias sprendimas, ypač jei nerimaujate dėl skirtingų kilmės šaltinių izoliacijos įdiegimo sudėtingumo. Štai keletas alternatyvų, kurias verta apsvarstyti:

• Pranešimų perdavimas (angl. Message passing): Naudokite postMessage API duomenims siųsti tarp skirtingų naršyklės kontekstų. Tai saugesnė alternatyva SharedArrayBuffer, nes neapima tiesioginio atminties dalijimosi. Tačiau tai gali būti mažiau efektyvu dideliems duomenų perdavimams.
• WebAssembly: WebAssembly (Wasm) yra binarinių instrukcijų formatas, kurį galima vykdyti žiniatinklio naršyklėse. Jis siūlo beveik prilygstantį našumą ir gali būti naudojamas atlikti skaičiavimams imlias užduotis, nepasikliaujant SharedArrayBuffer. Wasm taip pat gali suteikti saugesnę vykdymo aplinką nei JavaScript.
• Service Workers: „Service Workers“ gali būti naudojami atlikti fono užduotis ir talpyklos duomenis. Jie taip pat gali būti naudojami perimti tinklo užklausas ir keisti atsakymus. Nors jie tiesiogiai nepakeičia SharedArrayBuffer, jie gali būti naudojami pagerinti jūsų svetainės našumą, nepasikliaujant bendra atmintimi.

Skirtingų kilmės šaltinių izoliacijos privalumai

Be to, kad leidžia saugiai naudoti SharedArrayBuffer, skirtingų kilmės šaltinių izoliacija siūlo keletą kitų privalumų:

• Padidintas saugumas: Ji sumažina rizikas, susijusias su „Spectre“ tipo pažeidžiamumais ir kitomis laiko atakomis.
• Pagerintas našumas: Ji leidžia naudoti SharedArrayBuffer, siekiant pagerinti skaičiavimams imlių užduočių našumą.
• Didesnė jūsų svetainės saugumo kontrolė: Ji suteikia jums daugiau kontrolės, kurie skirtingos kilmės ištekliai gali būti įkeliami jūsų svetainėje.
• Ateities perspektyva: Kadangi žiniatinklio saugumas nuolat tobulėja, skirtingų kilmės šaltinių izoliacija suteikia tvirtą pagrindą būsimiems saugumo patobulinimams.

Išvada

Skirtingų kilmės šaltinių izoliacija (COOP/COEP) yra kritinė saugumo funkcija šiuolaikiniam žiniatinklio kūrimui, ypač naudojant SharedArrayBuffer. Įdiegę skirtingų kilmės šaltinių izoliaciją, galite sumažinti rizikas, susijusias su „Spectre“ tipo pažeidžiamumais ir kitomis laiko atakomis, tuo pačiu pasinaudodami SharedArrayBuffer teikiamais našumo pranašumais. Nors įdiegimas gali reikalauti kruopštaus skirtingos kilmės išteklių įkėlimo ir galimų suderinamumo problemų apsvarstymo, saugumo privalumai ir našumo padidėjimas yra verti pastangų. Žiniatinkliui tobulėjant, saugumo geriausių praktikų, tokių kaip skirtingų kilmės šaltinių izoliacija, taikymas tampa vis svarbesnis siekiant apsaugoti vartotojų duomenis ir užtikrinti saugią internetinę patirtį.

Papildoma literatūra

• Gidas, kaip įjungti skirtingų kilmės šaltinių izoliaciją
• Cross-Origin-Opener-Policy (COOP) - HTTP | MDN
• Cross-Origin-Embedder-Policy (COEP) - HTTP | MDN