10

Andei dando uma pesquisada, mas ainda me permanece essa dúvida. Atualmente alguns frameworks, seus link e script estão vindo com atributos integrity e crossorigin.

Ex.:

<link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/css/bootstrap.min.css" integrity="sha384-1q8mTJOASx8j1Au+a5WDVnPi2lkFfwwEAa8hDDdjZlpLegxhjVME1fgjWPGmkzs7" crossorigin="anonymous">
<script src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/js/bootstrap.min.js" integrity="sha384-0mSbJDEHialfmuBBQP6A4Qrprq5OVfW37PRR3j5ELqxss1yVqOtnepnHVP9aJ7xS" crossorigin="anonymous"></script>

Qual seria a real importância desses atributos? É uma regra ou opção de CDN's? E qual seria o impacto ou que relevância teria caso esses atributos fossem removidos?

2 Respostas 2

12

Isso é feito para garantir que os arquivos não foram modificados. O sha-384 é um resumo criptográfico da família SHA-2, enfim é uma hash criptografia. Esse recurso é sensível a qualquer alteração, ou seja qualquer alteração no arquivo, mesmo que mínima, gerará uma hash diferente, acredito que essa explicação seja minimamente suficiente.

O integrity serve justamente para que possa garantir que um arquivo alterado não seja baixado pelo usuário.

Imagine a situação:

  1. Vários sites usam o https://maxcdn.../bootstrap.min.js.
  2. Uma pessoa, mal-intencionada, consegue obter acesso ao servidor que está armazenando este arquivo.
  3. Essa pessoa altera o arquivo. Esta alteração é um JavaScript que tenta localizar por form e quando preenchido envia os dados para ele.

Resultado:

Todo mundo que usava este arquivo (https://maxcdn.../bootstrap.min.js) terá o site comprometido, porque irá carregar um JS alterado, que irá enviar informações (ex. login/senha) para o tal pessoa mal-intencionada, afinal grande parte dos sites possuem formulários de login/senha, logo todos que digitarem vão enviar informações para esse atacante.

Isso pode ser comparado ao um XSS, só que ao invés de um usuário injetar um código, você mesmo injetou isto, indiretamente.

Existe outras maneiras de prevenir o caso acima, usando o CSP (Content-Security-Policy), ela inclusive pode obrigar que você informe o integrity, mas isso está fora de questão aqui.


Como evitar isso? Teoricamente usando hash.

Uma vez que este arquivo não será alterado, você coloca:

<script src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/js/bootstrap.min.js" integrity="sha384-0mSbJDEHialfmuBBQP6A4Qrprq5OVfW37PRR3j5ELqxss1yVqOtnepnHVP9aJ7xS" crossorigin="anonymous"></script>

Isso irá garantir que este arquivo não foi alterado e permanece idêntico. Se um invasor alterar o arquivo ele irá ter outra hash, que não será equivalente ao que informou no integrity, o navegador irá ignorar o arquivo baixado.


Você pode usar o https://www.srihash.org/ para obter as hashes de arquivos já hospedados, óbvio você deve fazer isto quando o arquivo estiver confiável, se não você vai calcular a hash do arquivo modificado.

Lógico que também poderá utilizar funções da própria linguagem ou bibliotecas como openssl para calcular a hash dos arquivos e utiliza-las.

O uso de mecanismos automáticos, usando openssl (ou hash_file, no PHP) é bastante útil se você utiliza um CDN (exemplo CloudFlare), você pode criar um init(), função iniciada ao executar, que já calcula as hashes dos seus próprios arquivos, que posteriormente será armazenado no CDN. Assim, se o CDN ficar comprometido o seu site não sofrerá grande impacto, ao menos não que comprometa a seriamente a segurança.


O motivo do uso do SHA-384 ao invés de outro algoritmo da mesma família (ex. SHA-512) ainda não encontrei de fato. Entretanto, o motivo pode ser porque o SHA-256 e SHA-512 são vulneráveis ao length extension attack, mas não encontrei uma informação que prove que este é o motivo.

6

integrity é autoexplicativo: verificação de integridade. Isso é um checksum para garantir que o script que foi baixado não teve nada corrompido nem é uma versão desatualizada no seu HD, independente do motivo.

crossorigin é pra habilitar CORS, e com isso informações de erros de execução são recebidos pelo seu site. Só funciona se o CORS estiver habilitado do outro lado, que no caso dos CDN's, isso normalmente está ativo.

Fonte: https://www.w3.org/TR/html5/semantics-scripting.html#element-attrdef-script-crossorigin

4
  • Agradeço a resposta, mas ainda não compreendi a real importância disso, se é regra ou opção e qual o impacto que teria, caso fossem removidos. 2/02/2016 às 11:19
  • 1
    @LucasHenrique Um exemplo do crossorigin estiver desabilitado: digamos que aconteça uma exceção no seu bootstrap e que ela gera uma mensagem como "estilo não definido" ou qualquer coisa do tipo. Essa mensagem do erro, mencionando em que linha do JS está acontecendo o erro com a call stack só iria ser passada pro seu site se crossorigin estiver habilitado. Senão você só iria receber um erro genérico de JS, sem dizer call stack, sem descrição do erro.
    – DH.
    2/02/2016 às 12:21
  • 1
    Já o integrity você provavelmente não entendeu o que é checksum. Checksum é um método de gerar um hash, um texto, que represente o arquivo. Se o conteúdo do arquivo for diferente, o checksum é diferente. Usar integrity garante que o checksum seja verificado, evitando que um arquivo que foi baixado e esteja corrompido seja usado, ou até mesmo alguma versão errada do arquivo. Se o checksum do arquivo do browser não bater com o citado na tag ele vai baixar denovo até que os dois checksums sejam equivalentes.
    – DH.
    2/02/2016 às 12:24
  • Perfeita colaboração @DH. eu também tinha essas dúvidas, obrigado cara! 1/06/2017 às 22:22

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .