Etherpad-lite: Pregunta: ¿Qué encabezados CSP agregar para asegurar para etherpad?

• [x] Mire para ver qué partes de https://observatory.mozilla.org/analyze/video.etherpad.com podemos hacer en la base de código Etherpad sin dañar la experiencia del usuario. Esto probablemente signifique poner algunas cosas en la configuración.
• [] Cosas que no podemos hacer, deberíamos documentar

Tenga en cuenta que en Video.etherpad.com los resultados son

Un simple npm install ep_helmet o instalar ep_helmet través de la interfaz de usuario de instalación del complemento le dará una calificación B en el Observatorio. https://observatory.mozilla.org/analyze/video.etherpad.com

El alcance del problema era "qué cabeceras de CSP", pero me desvié un poco y decidí cubrir muchas más de las vulnerabilidades relacionadas con las cabeceras disponibles para los atacantes. Esto le da al administrador una solución de "un clic" para aumentar la seguridad.

Esto todavía no "soluciona" la cuestión de los encabezados CSP correctos. CSP en general es complicado de implementar en Etherpad debido a que hay MUCHO JS en línea. Maldita sea. Y afaik es dinámico, así que necesito adoptar el enfoque nonce y eso significa tocar muchos archivos. Ni siquiera estoy seguro de que sea posible, pero voy a intentar dedicarle unas horas más y ver dónde llego. Vale la pena el esfuerzo incluso si solo confirma que necesitamos mover el javascript fuera de los archivos html. En mi humilde opinión, unsafe-eval y unsafe-inline son los 2 vectores más importantes que vale la pena abordar. Quizás mañana ...

https://github.com/johnmclear/ep_helmet

Está bien, y ahora hay una solicitud de fusión para CSP y voy a publicar un casco actualizado.

Esperando que @muxator revise.

Mi preocupación con mi solución por cierto es que los complementos a menudo usan js en línea, por lo que si habilita la política estricta de csp, significará que algunos de ellos no funcionarán

Rebasé hoy. Este RP está tan involucrado que no quiero fusionarlo yo mismo.

El PR solo maneja los nonce, no es excelente para solucionar los problemas de inlineJS, pero para la mayoría npm install ep_helmet salva el día :)

Este problema se ha marcado automáticamente como obsoleto porque no ha tenido actividad reciente. Se cerrará si no se produce más actividad. Gracias por sus aportaciones.