Content Security Policy
உள்ளடக்க பாதுகாப்புக் கொள்கை (சிஎஸ்பி) என்பது நம்பகமான வலைப்பக்க சூழலில் தீங்கிழைக்கும் உள்ளடக்கத்தை செயல்படுத்துவதன் விளைவாக குறுக்கு தள ஸ்கிரிப்டிங் (எக்ஸ்எஸ்எஸ்), கிளிக் ஜாக்கிங் மற்றும் பிற குறியீடு ஊசி தாக்குதல்களைத் தடுக்க அறிமுகப்படுத்தப்பட்ட கணினி பாதுகாப்பு தரநிலையாகும். இது நவீன வலை உலாவிகளால் பரவலாக ஆதரிக்கப்படும் வலை பயன்பாட்டு பாதுகாப்பு குறித்த W3C பணிக்குழுவின் வேட்பாளர் பரிந்துரையாகும். ஜாவாஸ்கிரிப்ட், சிஎஸ்எஸ், எச். டி. எம். எல் பிரேம்கள், வலைத் தொழிலாளர்கள், எழுத்துருக்கள், படங்கள், ஜாவா ஆப்லெட்டுகள், ஆக்டிவ்எக்ஸ், ஆடியோ மற்றும் வீடியோ கோப்புகள் போன்ற உட்பொதிக்கக்கூடிய பொருள்கள் மற்றும் பிற எச். டி. எம். எல் 5 அம்சங்கள் ஆகியவை உள்ளடக்கத்தின் அங்கீகரிக்கப்பட்ட தோற்றத்தை அறிவிக்க வலைத்தள உரிமையாளர்களுக்கு ஒரு நிலையான முறையை சி. எஸ். பி வழங்குகிறது. தரநிலைகள், முதலில் உள்ளடக்க கட்டுப்பாடுகள் என்று பெயரிடப்பட்டது, இது 2004 ஆம் ஆண்டில் ராபர்ட் ஹான்சனால் முன்மொழியப்பட்டது, இது முதலில் பயர்பாக்ஸ் 4 இல் செயல்படுத்தப்பட்டது மற்றும் மற்ற உலாவிகளால் விரைவாக எடுக்கப்பட்டது. தரநிலையின் பதிப்பு 1 2012 ஆம் ஆண்டில் W3C வேட்பாளர் பரிந்துரையாக வெளியிடப்பட்டது, மேலும் 2014 ஆம் ஆண்டில் வெளியிடப்பட்ட கூடுதல் பதிப்புகளுடன் (நிலை 2), நிலை 3 இன் வரைவு வலை உலாவிகளால் விரைவாக ஏற்றுக்கொள்ளப்பட்ட புதிய அம்சங்களுடன் உருவாக்கப்பட்டு வருகிறது. பின்வரும் தலைப்பு பெயர்கள் சோதனை CSP அமலாக்கங்களின் ஒரு பகுதியாகப் பயன்படுத்தப்படுகின்றனஃ உள்ளடக்கம்-பாதுகாப்பு-கொள்கை-W3C ஆவணத்தால் முன்மொழியப்பட்ட நிலையான தலைப்பு பெயர். கூகிள் குரோம் பதிப்பு 25 வரை இதை ஆதரிக்கிறது. ஃபயர்பாக்ஸ் 6 ஆகஸ்ட் 2013 அன்று வெளியிடப்பட்ட பதிப்பு 23 வரை இதை ஆதரிக்கிறது. வெப்கிட் இதை பதிப்பு 528 (இரவு நேர உருவாக்கம்) வரை ஆதரிக்கிறது. குரோமியம் அடிப்படையிலான மைக்ரோசாப்ட் எட்ஜ் ஆதரவு குரோம் போன்றது. எக்ஸ்-வெப்கிட்-சி. எஸ். பி-2011 ஆம் ஆண்டில் கூகிள் குரோம், சஃபாரி மற்றும் பிற வெப்கிட் அடிப்படையிலான வலை உலாவிகளில் அறிமுகப்படுத்தப்பட்ட காலாவதியான, சோதனை தலைப்பு. எக்ஸ்-உள்ளடக்கம்-பாதுகாப்பு-கொள்கை-கெக்கோ 2 அடிப்படையிலான உலாவிகளில் அறிமுகப்படுத்தப்பட்ட காலாவதியான, சோதனைத் தலைப்பு (பயர்பாக்ஸ் 4 முதல் பயர்பாக்ஸ் 22, தண்டர்பேர்ட் 3.3, சீமாங்கி 2.1). ஒரு வலைத்தளம் பல சி. எஸ். பி தலைப்புகளை அறிவிக்க முடியும், மேலும் அமலாக்கம் மற்றும் அறிக்கை-மட்டும் ஆகியவற்றைக் கலக்கலாம். ஒவ்வொரு தலைப்பும் உலாவியால் தனித்தனியாக செயலாக்கப்படும். சிஎஸ்பியை ஒரு எச். டி. எம். எல் மெட்டா குறிச்சொல்லைப் பயன்படுத்தி எச். டி. எம். எல் குறியீட்டிற்குள் வழங்கலாம், இருப்பினும் இந்த விஷயத்தில் அதன் செயல்திறன் குறைவாக இருக்கும். இன்டர்நெட் எக்ஸ்ப்ளோரர் 10 மற்றும் இன்டர்நெட் எக்ஸ்ப்ளோரர் 11 ஆகியவையும் சிஎஸ்பியை ஆதரிக்கின்றன, ஆனால் சோதனை எக்ஸ்-உள்ளடக்கம்-பாதுகாப்பு-கொள்கை தலைப்பைப் பயன்படுத்தி சாண்ட்பாக்ஸ் வழிகாட்டியை மட்டுமே ஆதரிக்கின்றன. பல வலை பயன்பாட்டு கட்டமைப்புகள் CSP ஐ ஆதரிக்கின்றன, எடுத்துக்காட்டாக AngularJS (சொந்தமாக) மற்றும் Django (மிடில்வேர்). ரூபி ஆன் ரெயில்ஸிற்கான அறிவுறுத்தல்கள் கிட்ஹப் மூலம் வெளியிடப்பட்டுள்ளன. இருப்பினும், சி. எஸ். பி உள்ளடக்கங்கள் எப்படியாவது வலை பயன்பாட்டின் நிலையைப் பொறுத்து இருந்தால் மட்டுமே வலை கட்டமைப்பின் ஆதரவு தேவைப்படுகிறது. இல்லையெனில், சிஎஸ்பி நிலையானது மற்றும் பயன்பாட்டிற்கு மேலே உள்ள வலை பயன்பாட்டு அடுக்குகளிலிருந்து வழங்கப்படலாம், எடுத்துக்காட்டாக சுமை சமநிலை அல்லது வலை சேவையகத்தில். பைபாஸ்கள் டிசம்பர் 2015 மற்றும் டிசம்பர் 2016 இல், 'நோன்ஸ்' அனுமதிக்கப்படாத தோற்றங்களைத் தவிர்ப்பதற்கான சில முறைகள் வெளியிடப்பட்டன. ஜனவரி 2016 இல், மற்றொரு முறை வெளியிடப்பட்டது, இது சேவையக அளவிலான சிஎஸ்பியை ஒரே சேவையகத்தில் ஹோஸ்ட் செய்யப்பட்ட ஜாவாஸ்கிரிப்ட் நூலகங்களின் பழைய மற்றும் பாதிக்கப்படக்கூடிய பதிப்புகளை சுரண்ட அனுமதிக்கிறது (சி. டி. என் சேவையகங்களுடன் அடிக்கடி வழக்கு). மே 2017 இல் வலை பயன்பாட்டு கட்டமைப்புகளின் குறியீட்டைப் பயன்படுத்தி சிஎஸ்பியை புறக்கணிக்க மேலும் ஒரு முறை வெளியிடப்பட்டது. செயல்பாட்டு முறை சர்வர் பதிலில் உள்ளடக்கம்-பாதுகாப்பு-கொள்கை தலைப்பு இருந்தால், ஒரு இணக்கமான கிளையன்ட் அறிவிப்பு அனுமதி பட்டியல் கொள்கையை செயல்படுத்துகிறது. சில குறுக்கு-தள ஸ்கிரிப்டிங் தாக்குதல்களைத் தடுப்பதற்காக ஜாவாஸ்கிரிப்டுக்கான கடுமையான செயலாக்க முறை ஒரு கொள்கையின் ஒரு எடுத்துக்காட்டு இலக்காகும். நடைமுறையில் இதன் பொருள் என்னவென்றால், பல அம்சங்கள் இயல்பாகவே முடக்கப்பட்டுள்ளனஃ இன்லைன் ஜாவாஸ்கிரிப்ட் குறியீடு <ஸ்கிரிப்ட்> தொகுதிகள், டிஓஎம் நிகழ்வு கையாளிகள் எச்டிஎம்எல் பண்புக்கூறுகளாக (எ. கா. ஆன்க்ளிக்) ஜாவாஸ்கிரிப்ட்ஃ இணைப்புகள் இன்லைன் சிஎஸ்எஸ் அறிக்கைகள் <பாணி> பிளாக் ஸ்டைல் எச். டி. எம். எல் கூறுகளுக்குக் காரணம் டைனமிக் ஜாவாஸ்கிரிப்ட் குறியீடு மதிப்பீடு மதிப்பீடு () செட் டைம்அவுட் மற்றும் செட்இன்டெர்வல் செயல்பாடுகளுக்கான சரம் வாதங்கள் புதிய செயல்பாடு () கட்டமைப்பாளர் டைனமிக் சிஎஸ்எஸ் அறிக்கைகள் CSSStyleSheet.insertRule () முறை ஒரு புதிய பயன்பாட்டில் சிஎஸ்பியைப் பயன்படுத்துவது மிகவும் நேரடியானதாக இருக்கலாம், குறிப்பாக சிஎஸ்பி-இணக்கமான ஜாவாஸ்கிரிப்ட் கட்டமைப்புடன், ஏற்கனவே உள்ள பயன்பாடுகளுக்கு சில மறுசீரமைப்பு தேவைப்படலாம்-அல்லது கொள்கையை தளர்த்தலாம். CSP-இணக்கமான வலை பயன்பாடுகளுக்கான பரிந்துரைக்கப்பட்ட குறியீட்டு நடைமுறை வெளிப்புற மூல கோப்புகளிலிருந்து (<ஸ்கிரிப்ட் src>) குறியீட்டை ஏற்றுவது, அதை மதிப்பிடுவதற்குப் பதிலாக JSON ஐப் பகுப்பாய்வு செய்வது மற்றும் நிகழ்வு கையாளிகளை அமைக்க EventTarget.addEventListener () ஐப் பயன்படுத்துவது ஆகும். குறிப்புகள் அறிக்கையிடல் கோரப்பட்ட வளம் அல்லது ஸ்கிரிப்ட் செயல்படுத்தல் கொள்கையை மீறும் எந்த நேரத்திலும், உலாவி மீறல் விவரங்களைக் கொண்ட ரிப்போர்ட்-யூரி அல்லது ரிப்போர்ட்-டூவில் குறிப்பிடப்பட்டுள்ள மதிப்புக்கு ஒரு போஸ்ட் கோரிக்கையை செலுத்தும். சிஎஸ்பி அறிக்கைகள் நிலையான ஜேஎஸ்ஓஎன் கட்டமைப்புகள் மற்றும் பயன்பாட்டின் சொந்த ஏபிஐ அல்லது பொது சிஎஸ்பி அறிக்கை பெறுநர்களால் கைப்பற்றப்படலாம். 2018 ஆம் ஆண்டில் பாதுகாப்பு ஆராய்ச்சியாளர்கள் அறிக்கை-யூரி இல் குறிப்பிடப்பட்டுள்ள நியமிக்கப்பட்ட பெறுநருக்கு தவறான நேர்மறை அறிக்கைகளை எவ்வாறு அனுப்புவது என்பதைக் காட்டினர். இது சாத்தியமான தாக்குபவர்களை தன்னிச்சையாக அந்த அலாரங்களைத் தூண்ட அனுமதிக்கிறது, மேலும் உண்மையான தாக்குதல் ஏற்பட்டால் அவை குறைவான பயனுள்ளதாக இருக்கும். உலாவி (கிளையன்ட்) அறிக்கைகளை அனுப்புவதால், இந்த நடத்தை நோக்கம் கொண்டது மற்றும் சரிசெய்ய முடியாது. அசல் சிஎஸ்பி (1) செயலாக்க மாதிரியின் (2012-2013) படி, பயனர் நிறுவிய உலாவி துணை நிரல்கள் அல்லது நீட்டிப்புகளின் செயல்பாட்டில் சிஎஸ்பி தலையிடக்கூடாது. சிஎஸ்பியின் இந்த அம்சம் எந்தவொரு ஆட்-ஆன், எக்ஸ்டென்ஷன் அல்லது புக்மார்க்லெட்டையும் அந்த ஸ்கிரிப்ட்டின் தோற்றத்தைப் பொருட்படுத்தாமல், வலைத்தளங்களில் ஸ்கிரிப்டை செலுத்த திறம்பட அனுமதித்திருக்கும், இதனால் சிஎஸ்பி கொள்கைகளிலிருந்து விலக்கு அளிக்கப்படும். இருப்பினும், இந்தக் கொள்கை பின்வரும் சொற்களுடன் மாற்றியமைக்கப்பட்டுள்ளது (சிஎஸ்பி 1.1 இன் படி). குறிப்புஃ பயனர் முகவர்கள் பயனர் விருப்பத்தேர்வுகள், புக்மார்க்கெட்டுகள், பயனர் முகவருக்கு மூன்றாம் தரப்பு சேர்த்தல்கள் மூலம் கொள்கை அமலாக்கத்தை மாற்றியமைக்க அல்லது புறக்கணிக்க பயனர்களை அனுமதிக்கலாம், மேலும் இதுபோன்ற பிற mechanisms.The முழுமையான "வேண்டும்" சொற்கள் உலாவி பயனர்களால் கொள்கையை பின்பற்றக் கோர/கோர பயன்படுத்தப்பட்டு வருகின்றன, மேலும் பிரபலமான உலாவிகளில் (பயர்பாக்ஸ், குரோம், சஃபாரி) அதை ஆதரிக்க மாற்றங்களை நிறுவப்பட்டுள்ளன. ட்விட்டர் மற்றும் கிட்ஹப் போன்ற தளங்கள் வலுவான சிஎஸ்பி கொள்கைகளைப் பயன்படுத்தத் தொடங்கியபோது இது குறிப்பாக சர்ச்சைக்குரியதாக இருந்தது, இது புக்மார்க்லெட்டுகளின் பயன்பாட்டை 'உடைத்தது'. W3C வெப் அப்ளிகேஷன் செக்யூரிட்டி வொர்கிங் குரூப் அத்தகைய ஸ்கிரிப்டை உலாவியால் செயல்படுத்தப்பட்ட நம்பகமான கம்ப்யூட்டிங் தளத்தின் ஒரு பகுதியாக கருதுகிறது; இருப்பினும், இந்த விலக்கு தீங்கிழைக்கும் அல்லது சமரசம் செய்யப்பட்ட துணை நிரல்கள் அல்லது நீட்டிப்புகளால் சுரண்டப்படக்கூடிய ஒரு பாதுகாப்பு துளை என்று காக்ஸ் கம்யூனிகேஷன்ஸ் பிரதிநிதியால் பணிக்குழுவிற்கு வாதிடப்பட்டுள்ளது. பல புதிய உலாவி பாதுகாப்பு தரநிலைகள் W3C ஆல் முன்மொழியப்பட்டுள்ளன, அவற்றில் பெரும்பாலானவை CSP க்கு நிரப்பு ஆகும்ஃ சப்ரிஸோர்ஸ் இன்டெக்ரிடி (SRI), அறியப்பட்ட, நம்பகமான வளக் கோப்புகள் (பொதுவாக ஜாவாஸ்கிரிப்ட், CSS) மட்டுமே மூன்றாம் தரப்பு சேவையகங்களிலிருந்து (பொதுவாக CDN கள்) ஏற்றப்படுவதை உறுதிசெய்வதற்காக கலப்பு உள்ளடக்கம், HTTPS இல் ஏற்றப்பட்ட பக்கங்களில் விரும்பிய உலாவியின் கொள்கையை தெளிவுபடுத்துவதற்கும், எளிய உரை HTTP மேம்படுத்தல் பாதுகாப்பற்ற கோரிக்கைகள் மூலம் உள்ளடக்கத்தை இணைப்பதற்கும், HTTPS நற்சான்றிதழ் நிர்வாகத்திற்கு இடம்பெயர்ந்த பக்கங்களில் மரபு இணைப்புகளை எவ்வாறு கையாள்வது என்பது பற்றிய உலாவிகளை சுட்டிக்காட்டுகிறது, சிக்கலான உள்நுழைவு திட்டங்களை எளிதாக்க பயனரின் நற்சான்றுகளை அணுக ஒரு ஒருங்கிணைந்த ஜாவாஸ்கிரிப்ட் API, ரெஃபரர் கொள்கை, CSP நீட்டிப்பு XSS எதிர்ப்பு பாதுகாப்பு மற்றும் பயன்பாட்டு எல்லைகள் வலுவூட்டல் (ABE), பயர்பாக்ஸ் HTTP சுவிட்ச்போர்டுக்கான நீட்டிப்பு-பயனர் வரையறுக்கப்பட்ட CSP விதிகள், கூகிள் குரோம் மற்றும் ஓபரா HTTP ஸ்ட்ரிக்ட் டிரான்ஸ்போர்ட் செக்யூரிட்டி HTTP பப்ளிக் கீ பின்னிங் குறிப்புகள் வெளிப்புற இணைப்புகள் உள்ளடக்க பாதுகாப்பு கொள்கை W3C வேலை வரைவு உள்ளடக்க பாதுகாப்பு கொள்கைக்காக பாதுகாப்பான குறியீட்டு வழிகாட்டுதல்கள் உள்ளடக்க பாதுகாப்பு கொள்கை (CSP) எம். டி. என் வெப் டாக்ஸ் கணினி பாதுகாப்பு தரநிலைகள் ஹேக்கிங் (கணினி பாதுகாப்பு) ஹைபர்டெக்ஸ்ட் டிரான்ஸ்பர் புரோட்டோகால் தலைப்புகள் வலை பயன்பாடுகள் வலை பாதுகாப்பு சுரண்டல்கள்