Subresource Integrityについて調べたSubresource Integrity という記事をみて、 ちょっと興味深かったのでSubresource Integrityについて、軽く見てみた。 Subresource Integrityはどういうものかおそらく、以下のようなもの。 ウェブアプリケーションでCDNをつかって、サブリソースを参照することは当たり前になっている。 しかし参照先のサブリソースが安全であるという保証はない。 もし、CDN経由で参照しているサブリソースが攻撃者により改変された場合、XSSの危険性が生じる。 これは、サブリソースの整合性をチェックする仕組みを導入することで、危険を回避できる。 Subresource Integrityとは、サブリースをSHA256, SHA512などでハッシュ化して、linkタグやscriptタグにintegrity属性として付与することで、整合性を確認できるようにしたもの。
文字列からHTMLを組み立てる話 Shibuya.XSS techtalk #5
