Spectre の脅威とウェブサイトが設定すべきヘッダーについて

長い記事なので先に結論を書きます。 Spectre の登場で、ウェブサイトに必要とされるセキュリティ要件は増えました。具体的に必要な対策は下記の通りです。 すべてのリソースは Cross-Origin-Resource-Policy ヘッダーを使って cross-origin なドキュメントへの読み込みを制御する。 HTML ドキュメントには X-Frame-Options ヘッダーもしくは Content-Security-Policy (CSP) ヘッダーの frame-ancestors ディレクティブを追加して、cross-origin なページへの iframe による埋め込みを制御する。 HTML ドキュメントには Cross-Origin-Opener-Policy ヘッダーを追加して popup ウィンドウとして開かれた場合の cross-origin なページとのコミュニ

[kazkun]

SpectreってJavascriptで悪用可能なレベルになつてたのか。すごいな。

[ms2sato]

「同じプロセスの内容を推察できる」という脆弱性に対応する為に、攻撃者から自サービスのリソースを不用意に読み込ませなくする設定一覧。iframe、画像読み込み、ポップアップなど防ぐ。

[Shisama]

Spectreを防ぐために、開発者が適用すべきHTTPヘッダについてわかりやすく解説されている。CORP、X-Frame-Options、COOP、X-Content-Type-Options: nosniffなど

[inductor]

わかるんだけどCSPはちゃんと運用するのが難しすぎて人類には早すぎるって数年前からずっと言われているまま少なくとも自分の知る限りで改善はされてないと思うんだけど、Report-Only以外になんかいい方法ないのかな

[spark7]

chromeがクソすぎてサードパーティcookieを生かし続けてるのがいけない「多くの場合サードパーティー Cookie を必要とするリソース、ということになります」

[ryunosinfx]

Twitterでかいくぐれるか確認するとベストな設定でカッチカチなので参考になる。

[hope_ring]

当座はOSどころか各アプリケーションで面倒みないといけないの？ツライ。。。現状は対処できないCPUが山のように生きてるってことだよね。。。windows11の世代古いCPUサポートしない問題はコレだと思うんだけど

[NOV1975]

20年前、こんな問題が起きるなんて想像もしてなかったけどな。ブラウザという存在の中に便利ツールと金を動かす取引ツールが汎用のものとして同居しているってのがもう無理なんじゃ。専用クライアント作ろう。

[send]

めちゃくちゃいいまとめだ

[iekusup]

ほー。

[tettekete37564]

そもそも Spectre の原理が分からん。ハード的なアーキテクチャ由来の脆弱性なのにJSで実現できるというのもなんか不思議

[tattyu]

インターネットは複雑になり過ぎてしまったな。。Chromeがやたらとプロセス作るのはそう言う理由もあったのか。

[IGA-OS]

Spectreに該当するCPU環境は、まだ数年は現役やろうしな・・・Webサービス側も対策せないかんのね

[rryu]

サイト側で何かできるのと思ったら、オリジンを跨いだデータ参照が発生しなければブラウザが守ってくれるかもしれないから頑張って設定しようという感じっぽい。

[fashi]

これ対策してても悪意のあるブラウザ拡張が侵入したら無意味になるから怖いよな

[aoki789]

“Spectre”

[programmablekinoko]

クライアント側のマイクロサービス諦めて自社ドメインの単一サーバークライアント方式に戻そう（提案）

[kabuquery]

安全はつまらない

[rgfx]

つら。。

[suekunhello]

メモ

[efcl]

ウェブサイトでのクロスサイト/クロスオリジンに関連するセキュリティヘッダーについて。 Spectre後のサイドチャネル攻撃に関係するヘッダーの解説など

[youchin]

半導体界隈が見たらまた騒ぎそうな命名だなおい（半導体設計ツールにそういうのがある）

[oldriver]

後で読みます

[tamakiii]

“Spectre”

[teramako]

何故これが規定ではないのか？

[yarumato]

“なぜcross-originからの悪意ある読み込みを防ぐウェブサイト設定が必要か。Spectre(2018)はCPUの脆弱性。同じブラウザに表示した別サイト情報が盗まれる可能性。ブラウザ上でのアクセス制御をHTTPレスポンスヘッダー設定で”