Etherpad-lite: 질문: etherpad의 보안을 위해 추가할 CSP 헤더는 무엇입니까?

• [x] https://observatory.mozilla.org/analyze/video.etherpad.com 에서 Etherpad 코드 기반에서 사용자 경험을 손상시키지 않고 수행할 수 있는 부분을 확인하십시오. 이것은 아마도 설정에 몇 가지 항목을 넣는 것을 의미할 것입니다.
• [ ] 할 수 없는 부분은 문서화해야 합니다.

Video.etherpad.com에 대한 참고 결과는 다음과 같습니다.

간단한 npm install ep_helmet 또는 플러그인 설치 UI를 통해 ep_helmet 를 설치 하면 Observatory https://observatory.mozilla.org/analyze/video.etherpad.com

문제의 범위는 "CSP 헤더가 무엇인지"였습니다. 그러나 저는 약간 접했고 공격자가 사용할 수 있는 헤더 관련 익스플로잇을 더 많이 다루기로 결정했습니다. 이것은 관리자에게 보안을 강화하기 위한 "원 클릭" 솔루션을 제공합니다.

이것은 아직 올바른 CSP 헤더에 대한 질문을 "수정"하지 않습니다. CSP는 일반적으로 인라인 JS가 너무 많기 때문에 Etherpad에서 구현하기가 어렵습니다. 젠장. 그리고 동적이므로 nonce 접근 방식을 취해야 하며 이는 많은 파일을 만지는 것을 의미합니다. 나는 그것이 가능한지조차 확신하지 못하지만 나는 몇 시간을 더 보내고 내가 어디로 가는지 보려고 노력할 것입니다. html 파일에서 자바스크립트를 옮겨야 한다고 확인하는 경우에도 노력할 가치가 있습니다. Imho unsafe-eval 및 unsafe-inline은 해결하려는 노력의 가치가 있는 2가지 가장 큰 벡터입니다. 아마도 내일..

https://github.com/johnmclear/ep_helmet

좋습니다. 이제 CSP에 대한 병합 요청이 있으며 업데이트된 헬멧을 게시하겠습니다.

@muxator 에서 검토를 기다리고 있습니다.

내 수정 btw에 대한 내 관심사는 플러그인이 종종 인라인 js를 사용한다는 것이므로 엄격한 csp 정책을 활성화하면 일부 플러그인이 작동하지 않을 것입니다

오늘 재수했습니다. 이 PR은 너무 관련되어 있으므로 직접 병합하고 싶지 않습니다.

PR은 nonce를 처리합니다. inlineJS 문제를 수정하는 데는 좋지 않지만 대부분의 경우 npm install ep_helmet 가 하루를 절약합니다. :)

이 문제는 최근 활동이 없었기 때문에 자동으로 오래된 것으로 표시되었습니다. 더 이상 활동이 없으면 폐쇄됩니다. 귀하의 기여에 감사드립니다.