Etherpad-lite: Question : Quels en-têtes CSP ajouter pour sécuriser pour etherpad

• [x] Regardez pour voir quelles parties de https://observatory.mozilla.org/analyze/video.etherpad.com nous pouvons faire dans la base de code Etherpad sans endommager l'expérience utilisateur. Cela signifiera probablement mettre des choses dans les paramètres.
• [ ] Bits que nous ne pouvons pas faire, nous devrions documenter

Notez sur Video.etherpad.com les résultats sont

Un simple npm install ep_helmet ou une installation de ep_helmet via l'interface utilisateur d'installation du plugin vous obtiendra une note B sur Observatory. https://observatory.mozilla.org/analyze/video.etherpad.com

La portée du problème était "quels en-têtes CSP", mais je suis parti sur une tangente et j'ai décidé de couvrir beaucoup plus d'exploits liés aux en-têtes disponibles pour les attaquants. Cela donne à l'administrateur une solution "en un clic" pour augmenter la sécurité.

Cela ne "répare" pas encore la question des en-têtes CSP corrects. CSP en général est difficile à implémenter dans Etherpad en raison de la présence de BEAUCOUP de JS en ligne. Tant pis. Et à ma connaissance, c'est dynamique, donc je dois adopter l'approche nonce et cela signifie toucher beaucoup de fichiers. Je ne suis même pas sûr que ce soit possible mais je vais essayer d'y passer quelques heures de plus et voir où j'en arrive. Cela en vaut la peine même si cela confirme simplement que nous devons déplacer le javascript hors des fichiers html. Imho unsafe-eval et unsafe-inline sont les 2 plus grands vecteurs qui valent la peine d'être traités. Peut-être demain..

https://github.com/johnmclear/ep_helmet

Okay cool et maintenant une demande de fusion est pour CSP et je vais publier un casque mis à jour.

En attente de @muxator pour réviser.

Ma préoccupation avec mon correctif est que les plugins utilisent souvent des js en ligne, donc si vous activez une politique csp stricte, cela signifie que certains d'entre eux ne fonctionneront pas

J'ai rebasé aujourd'hui. Ce PR est tellement impliqué que je ne veux pas le fusionner moi-même.

Le PR ne gère que les nonce, ce n'est pas génial pour résoudre les problèmes inlineJS mais pour la plupart, npm install ep_helmet sauve la journée :)

Ce problème a été automatiquement marqué comme obsolète car il n'a pas eu d'activité récente. Il sera fermé si aucune autre activité ne se produit. Merci pour vos contributions.