사이트가 브라우저에 보내는 보안 설정

브라우저가 내 페이지를 불러올 때마다 사이트는 몇 가지 지침을 함께 보냅니다. 방문자에게는 보이지 않지만, 브라우저는 그 지침을 따릅니다. 그중 몇 가지는 공격을 훨씬 어렵게 만듭니다.

중요한 설정들

• Content Security Policy는 스크립트를 어디에서 가져와도 되는지 나열합니다. 공격자가 내 페이지에 스크립트를 몰래 넣더라도, 브라우저는 그 스크립트를 실행하지 않습니다.
• 프레임 보호는 다른 사이트가 내 페이지를 자기 페이지 안에 띄우지 못하게 막습니다. 사람들이 보이지 않는 버튼을 누르게 만드는 데 쓰는 수법입니다.
• 콘텐츠 타입 보호는 브라우저가 파일의 종류를 추측하지 못하게 막습니다. 그렇지 않으면 업로드된 이미지가 스크립트로 바뀔 수 있습니다.
• Referrer 정책은 누군가 링크를 클릭했을 때 내 페이지 주소의 얼마나 많은 부분을 다른 사이트와 공유할지 조절합니다.
• 쿠키 플래그는 로그인 쿠키를 스크립트가 접근하지 못하게 하고, 암호화되지 않은 연결로 보내지 않게 합니다.

왜 자주 빠져 있나요

이 중 어느 것도 기본으로 켜져 있지 않습니다. 프레임워크와 호스트는 이를 사용자에게 맡기고, 사이트는 이것이 없어도 정상 작동하므로, 무슨 일이 생기기 전까지는 아무도 알아채지 못합니다.

대부분은 한 곳, 즉 호스트나 프레임워크의 설정 파일에서 추가할 수 있습니다. Content Security Policy는 더 신중해야 합니다. 너무 엄격하게 설정하면 사이트에 필요한 스크립트를 막을 수 있으므로, 보통 단계적으로 추가합니다.

스캔은 사이트가 실제로 보내는 설정을 읽고, 무엇이 빠졌는지 또는 너무 느슨한지 알려 줍니다.