Content Security Policy
સામગ્રી સુરક્ષા નીતિ (સી. એસ. પી.) એ કોમ્પ્યુટર સુરક્ષા ધોરણ છે જે વિશ્વસનીય વેબ પૃષ્ઠ સંદર્ભમાં દૂષિત સામગ્રીના અમલીકરણના પરિણામે ક્રોસ-સાઇટ સ્ક્રિપ્ટીંગ (એક્સ. એસ. એસ.), ક્લિકજેકિંગ અને અન્ય કોડ ઈન્જેક્શન હુમલાઓને રોકવા માટે રજૂ કરવામાં આવ્યું છે. તે વેબ એપ્લિકેશન સુરક્ષા પર W3C કાર્યકારી જૂથની ઉમેદવાર ભલામણ છે, જે આધુનિક વેબ બ્રાઉઝર્સ દ્વારા વ્યાપકપણે સમર્થિત છે. સી. એસ. પી. વેબસાઇટ માલિકોને એવી સામગ્રીની સ્વીકૃત ઉત્પત્તિ જાહેર કરવા માટે એક પ્રમાણભૂત પદ્ધતિ પ્રદાન કરે છે કે જેને બ્રાઉઝર્સને તે વેબસાઇટ પર લોડ કરવાની મંજૂરી હોવી જોઈએ-આવરી લેવામાં આવેલા પ્રકારો છે જાવાસ્ક્રિપ્ટ, સી. એસ. એસ., એચ. ટી. એમ. એલ. ફ્રેમ્સ, વેબ કામદારો, ફોન્ટ્સ, છબીઓ, એમ્બેડ કરી શકાય તેવી વસ્તુઓ જેમ કે જાવા એપલેટ્સ, એક્ટિવએક્સ, ઑડિઓ અને વિડિયો ફાઇલો, અને અન્ય એચ. ટી. એમ. એલ. 5 સુવિધાઓ. મૂળરૂપે સામગ્રી પ્રતિબંધો નામનું ધોરણ, 2004માં રોબર્ટ હેન્સેન દ્વારા પ્રસ્તાવિત કરવામાં આવ્યું હતું, જે સૌપ્રથમ ફાયરફોક્સ 4માં લાગુ કરવામાં આવ્યું હતું અને અન્ય બ્રાઉઝર્સ દ્વારા ઝડપથી લેવામાં આવ્યું હતું. ધોરણની આવૃત્તિ 1 2012 માં W3C ઉમેદવારની ભલામણ તરીકે પ્રકાશિત કરવામાં આવી હતી અને 2014 માં પ્રકાશિત વધુ આવૃત્તિઓ (સ્તર 2) સાથે ઝડપથી, સ્તર 3 નો મુસદ્દો વેબ બ્રાઉઝર્સ દ્વારા ઝડપથી અપનાવવામાં આવતી નવી સુવિધાઓ સાથે વિકસાવવામાં આવી રહ્યો છે. પ્રાયોગિક સી. એસ. પી. અમલીકરણના ભાગ રૂપે નીચેના હેડર નામો ઉપયોગમાં લેવાય છેઃ સામગ્રી-સુરક્ષા-નીતિ-W3C દસ્તાવેજ દ્વારા પ્રસ્તાવિત પ્રમાણભૂત હેડર નામ. ગૂગલ ક્રોમ આને વર્ઝન 25 તરીકે સપોર્ટ કરે છે. ફાયરફોક્સ 6 ઓગસ્ટ 2013ના રોજ રજૂ થયેલ આવૃત્તિ 23 તરીકે આને ટેકો આપે છે. વેબકિટ આને આવૃત્તિ 528 (રાતનું નિર્માણ) તરીકે આધાર આપે છે. ક્રોમિયમ આધારિત માઈક્રોસોફ્ટ એજ સપોર્ટ ક્રોમ જેવો જ છે. એક્સ-વેબકિટ-સી. એસ. પી.-2011 માં ગૂગલ ક્રોમ, સફારી અને અન્ય વેબકિટ-આધારિત વેબ બ્રાઉઝર્સમાં અપ્રચલિત, પ્રાયોગિક હેડર રજૂ કરવામાં આવ્યું. એક્સ-કન્ટેન્ટ-સિક્યુરિટી-પોલિસી-ગેકો 2 આધારિત બ્રાઉઝર્સમાં અપ્રચલિત, પ્રાયોગિક હેડર રજૂ કરવામાં આવ્યું (ફાયરફોક્સ 4 થી ફાયરફોક્સ 22, થન્ડરબર્ડ 3.3, સીમોંકી 2.1). વેબસાઇટ બહુવિધ સી. એસ. પી. હેડર જાહેર કરી શકે છે, જેમાં અમલીકરણ અને માત્ર અહેવાલનું મિશ્રણ પણ હોય છે. દરેક હેડર પર બ્રાઉઝર દ્વારા અલગથી પ્રક્રિયા કરવામાં આવશે. સી. એસ. પી. ને એચ. ટી. એમ. એલ. મેટા ટેગનો ઉપયોગ કરીને એચ. ટી. એમ. એલ. કોડમાં પણ વિતરિત કરી શકાય છે, જો કે આ કિસ્સામાં તેની અસરકારકતા મર્યાદિત હશે. ઈન્ટરનેટ એક્સપ્લોરર 10 અને ઈન્ટરનેટ એક્સપ્લોરર 11 પણ સી. એસ. પી. ને સપોર્ટ કરે છે, પરંતુ પ્રાયોગિક એક્સ-કન્ટેન્ટ-સિક્યુરિટી-પોલિસી હેડરનો ઉપયોગ કરીને માત્ર સેન્ડબોક્સ ડાયરેક્ટિવને સપોર્ટ કરે છે. સંખ્યાબંધ વેબ એપ્લિકેશન માળખાઓ સી. એસ. પી. ને ટેકો આપે છે, ઉદાહરણ તરીકે એંગ્યુલરજે. એસ. (નેટિવ) અને જેંગો (મિડલવેર). રૂબી ઓન રેલ્સ માટેની સૂચનાઓ ગિટહબ દ્વારા પોસ્ટ કરવામાં આવી છે. વેબ ફ્રેમવર્ક સપોર્ટ જોકે ત્યારે જ જરૂરી છે જ્યારે સી. એસ. પી. સમાવિષ્ટો કોઈક રીતે વેબ એપ્લિકેશનની સ્થિતિ પર આધાર રાખે છે-જેમ કે નોનસ ઓરિજિનનો ઉપયોગ. નહિંતર, સી. એસ. પી. તેના બદલે સ્થિર છે અને એપ્લિકેશનની ઉપરના વેબ એપ્લિકેશન સ્તરોમાંથી વિતરિત કરી શકાય છે, ઉદાહરણ તરીકે લોડ બેલેન્સર અથવા વેબ સર્વર પર. બાયપાસ ડિસેમ્બર 2015 અને ડિસેમ્બર 2016માં મૂળની 'નોનસ' મંજૂરીને બાયપાસ કરવાની કેટલીક પદ્ધતિઓ પ્રકાશિત કરવામાં આવી હતી. જાન્યુઆરી 2016 માં, બીજી પદ્ધતિ પ્રકાશિત કરવામાં આવી હતી, જે સર્વર-વ્યાપી સી. એસ. પી. નો લાભ લે છે, જે સમાન સર્વર પર હોસ્ટ કરેલા જાવાસ્ક્રિપ્ટ લાઈબ્રેરીઓના જૂના અને નબળા સંસ્કરણોનો ઉપયોગ કરવાની મંજૂરી આપે છે (સી. ડી. એન. સર્વરો સાથે વારંવાર કેસ). મે 2017માં વેબ એપ્લિકેશન ફ્રેમવર્ક કોડનો ઉપયોગ કરીને સી. એસ. પી. ને બાયપાસ કરવા માટે વધુ એક પદ્ધતિ પ્રકાશિત કરવામાં આવી હતી. કામગીરીની રીત જો સર્વર પ્રતિસાદમાં સામગ્રી-સુરક્ષા-નીતિ હેડર હાજર હોય, તો સુસંગત ક્લાયન્ટ ઘોષણાત્મક મંજૂરી સૂચિ નીતિ લાગુ કરે છે. નીતિનું એક ઉદાહરણ લક્ષ્ય ચોક્કસ ક્રોસ-સાઇટ સ્ક્રિપ્ટીંગ હુમલાઓને રોકવા માટે જાવાસ્ક્રિપ્ટ માટે કડક અમલ સ્થિતિ છે. વ્યવહારમાં આનો અર્થ એ છે કે સંખ્યાબંધ સુવિધાઓ મૂળભૂત રીતે નિષ્ક્રિય છેઃ ઇનલાઇન જાવાસ્ક્રિપ્ટ કોડ <સ્ક્રિપ્ટ> બ્લોક્સ, એચટીએમએલ વિશેષતાઓ તરીકે ડીઓએમ ઇવેન્ટ હેન્ડલર્સ (દા. ત. onclick) જાવાસ્ક્રિપ્ટઃ લિંક્સ ઇનલાઇન CSS સ્ટેટમેન્ટ્સ <શૈલી> બ્લોક સ્ટાઇલ એચટીએમએલ એલિમેન્ટ્સને આભારી છે ડાયનેમિક જાવાસ્ક્રિપ્ટ કોડ ઇવેલ્યુએશન () સ્ટ્રિંગ આર્ગ્યુમેન્ટ્સ સેટ ટાઈમઆઉટ અને સેટઇન્ટર્વલ ફંક્શન્સ માટે નવું ફંક્શન () કન્સ્ટ્રક્ટર ડાયનેમિક CSS સ્ટેટમેન્ટ્સ CSSStyleSheet.insertRule () પદ્ધતિ જ્યારે નવી એપ્લિકેશનમાં CSP નો ઉપયોગ કરવો એકદમ સીધો હોઈ શકે છે, ખાસ કરીને CSP-સુસંગત જાવાસ્ક્રિપ્ટ ફ્રેમવર્ક સાથે, હાલની એપ્લિકેશનોને કેટલાક રીફેક્ટરિંગની જરૂર પડી શકે છે-અથવા નીતિને હળવા કરવાની જરૂર પડી શકે છે. સી. એસ. પી.-સુસંગત વેબ એપ્લિકેશન્સ માટે ભલામણ કરાયેલ કોડિંગ પ્રથા એ છે કે બાહ્ય સ્રોત ફાઇલો (<સ્ક્રિપ્ટ src>) માંથી કોડ લોડ કરવો, તેનું મૂલ્યાંકન કરવાને બદલે જે. એસ. ઓ. એન. નું વિશ્લેષણ કરવું અને ઇવેન્ટ હેન્ડલર્સને સેટ કરવા માટે EventTarget.addEventListener () નો ઉપયોગ કરવો. નોંધો રિપોર્ટિંગ કોઈપણ સમયે વિનંતી કરેલ સંસાધન અથવા સ્ક્રિપ્ટ એક્ઝેક્યુશન નીતિનું ઉલ્લંઘન કરે છે, ત્યારે બ્રાઉઝર ઉલ્લંઘનની વિગતો ધરાવતી રિપોર્ટ-યૂરી અથવા રિપોર્ટ-ટુમાં નિર્દિષ્ટ મૂલ્ય પર પોસ્ટ વિનંતી કરશે. સી. એસ. પી. અહેવાલો પ્રમાણભૂત જે. એસ. ઓ. એન. માળખાં છે અને એપ્લિકેશનના પોતાના એ. પી. આઈ. અથવા જાહેર સી. એસ. પી. અહેવાલ પ્રાપ્તકર્તાઓ દ્વારા કબજે કરી શકાય છે. 2018 માં સુરક્ષા સંશોધકોએ બતાવ્યું કે રિપોર્ટ-યુરીમાં નિર્દિષ્ટ નિયુક્ત પ્રાપ્તકર્તાને ખોટા સકારાત્મક અહેવાલો કેવી રીતે મોકલવા. આ સંભવિત હુમલાખોરોને મનસ્વી રીતે તે એલાર્મ્સને ટ્રિગર કરવાની મંજૂરી આપે છે અને વાસ્તવિક હુમલાના કિસ્સામાં તેમને ઓછા ઉપયોગી બનાવી શકે છે. આ વર્તણૂકનો ઈરાદો છે અને તેને સુધારી શકાતી નથી, કારણ કે બ્રાઉઝર (ક્લાયન્ટ) અહેવાલો મોકલી રહ્યું છે. બ્રાઉઝર એડ-ઓન અને એક્સ્ટેંશન મુક્તિ મૂળ સી. એસ. પી. (1) પ્રોસેસિંગ મોડલ (2012-2013) અનુસાર, સી. એસ. પી. એ બ્રાઉઝર એડ-ઓન અથવા વપરાશકર્તા દ્વારા સ્થાપિત એક્સ્ટેંશનની કામગીરીમાં દખલ કરવી જોઈએ નહીં. સી. એસ. પી. ની આ સુવિધાએ કોઈપણ એડ-ઓન, એક્સ્ટેંશન અથવા બુકમાર્કલેટને વેબ સાઇટ્સમાં સ્ક્રિપ્ટ દાખલ કરવાની અસરકારક મંજૂરી આપી હોત, પછી ભલે તે સ્ક્રિપ્ટની ઉત્પત્તિ ગમે તે હોય, અને તેથી તેને સી. એસ. પી. નીતિઓમાંથી મુક્તિ આપવામાં આવી હોત. જો કે, આ નીતિ પછીથી (સી. એસ. પી. 1.1 મુજબ) નીચેના શબ્દો સાથે સુધારવામાં આવી છે. નોંધઃ વપરાશકર્તા એજન્ટો વપરાશકર્તાની પસંદગીઓ, બુકમાર્કલેટ, વપરાશકર્તા એજન્ટમાં તૃતીય-પક્ષ ઉમેરાઓ અને આવા અન્ય mechanisms.The સંપૂર્ણ "જોઈએ" શબ્દોનો ઉપયોગ બ્રાઉઝર વપરાશકર્તાઓ દ્વારા નીતિના પાલનની વિનંતી/માંગ કરવા માટે કરવામાં આવી રહ્યો હતો અને તેને ટેકો આપવા માટે લોકપ્રિય બ્રાઉઝર્સ (ફાયરફોક્સ, ક્રોમ, સફારી) માં ફેરફારો સ્થાપિત કર્યા છે. આ ખાસ કરીને વિવાદાસ્પદ હતું જ્યારે ટ્વિટર અને ગિટહબ જેવી સાઇટોએ મજબૂત સી. એસ. પી. નીતિઓનો ઉપયોગ કરવાનું શરૂ કર્યું હતું, જેણે બુકમાર્કલેટનો ઉપયોગ 'તોડ્યો' હતો. W3C વેબ એપ્લિકેશન સિક્યુરિટી વર્કિંગ ગ્રુપ આવી સ્ક્રિપ્ટને બ્રાઉઝર દ્વારા અમલમાં મૂકાયેલા ટ્રસ્ટેડ કમ્પ્યુટિંગ બેઝનો ભાગ માને છે; જો કે, કોક્સ કોમ્યુનિકેશન્સના પ્રતિનિધિ દ્વારા કાર્યકારી જૂથને એવી દલીલ કરવામાં આવી છે કે આ મુક્તિ એક સંભવિત સુરક્ષા છિદ્ર છે જેનો દુર્ભાવનાપૂર્ણ અથવા સમાધાનકારક એડ-ઓન અથવા એક્સ્ટેંશન દ્વારા ઉપયોગ કરી શકાય છે. W3C દ્વારા સંખ્યાબંધ નવા બ્રાઉઝર સુરક્ષા ધોરણોની દરખાસ્ત કરવામાં આવી રહી છે, જેમાંના મોટાભાગના CSPના પૂરક છેઃ સબરીસોર્સ ઇન્ટિગ્રિટી (SRI), માત્ર જાણીતી, વિશ્વસનીય સંસાધન ફાઇલો (સામાન્ય રીતે જાવાસ્ક્રિપ્ટ, CSS) તૃતીય-પક્ષ સર્વર (સામાન્ય રીતે CDN) મિશ્ર સામગ્રીમાંથી લોડ થાય છે તેની ખાતરી કરવા માટે, HTTPS પર લોડ કરેલા પૃષ્ઠો પર ઇચ્છિત બ્રાઉઝરની નીતિને સ્પષ્ટ કરવા અને સાદા લખાણ HTTP અપગ્રેડ અસુરક્ષિત વિનંતીઓ પર સામગ્રીને જોડવા માટે, HTTPS ઓળખપત્ર વ્યવસ્થાપનમાં સ્થાનાંતરિત પૃષ્ઠો પર વારસાગત લિંક્સને કેવી રીતે હેન્ડલ કરવી તે અંગે બ્રાઉઝર્સને સંકેત આપતા, જટિલ પ્રવેશ યોજનાઓને સરળ બનાવવા માટે વપરાશકર્તાની ઓળખપત્રોને ઍક્સેસ કરવા માટે એકીકૃત જાવાસ્ક્રિપ્ટ API, સંદર્ભ નીતિ, પેઢી પર બ્રાઉઝરને સંકેત આપવા માટે CSP વિસ્તરણ. સમાન મૂળ નીતિ નોસ્ક્રિપ્ટ-એન્ટી-એક્સએસએસ પ્રોટેક્શન એન્ડ એપ્લિકેશન બાઉન્ડ્રીઝ એન્ફોર્સર (એબીઈ), ફાયરફોક્સ એચટીટીપી સ્વિચબોર્ડ માટે વિસ્તરણ-વપરાશકર્તા નિર્ધારિત સીએસપી નિયમો, ગૂગલ ક્રોમ અને ઓપેરા એચટીટીપી માટે વિસ્તરણ સખત પરિવહન સુરક્ષા એચટીટીપી જાહેર કી પિનિંગ સંદર્ભો બાહ્ય કડીઓ સામગ્રી સુરક્ષા નીતિ ડબલ્યુ3સી કાર્યકારી મુસદ્દો સામગ્રી સુરક્ષા નીતિ માટે સુરક્ષિત કોડિંગ માર્ગદર્શિકા એમ. ડી. એન. વેબ ડૉક્સ પર સામગ્રી સુરક્ષા નીતિ સામગ્રી સુરક્ષા નીતિ (સી. એસ. પી.) કમ્પ્યુટર સુરક્ષા ધોરણો હેકિંગ (કમ્પ્યુટર સુરક્ષા) હાયપરટેક્સ્ટ ટ્રાન્સફર પ્રોટોકોલ હેડર વેબ એપ્લિકેશન્સ વેબ સુરક્ષા શોષણ