Was ist der Unterschied zwischen X-Frame-Optionen und CSP-Frame-Vorfahren?

Als X-Frame-Anbieter stoße ich oft auf Fragen von Kunden zu Web-Sicherheits-Headern, insbesondere zum Unterschied zwischen X-Frame-Optionen und CSP-Frame-Vorfahren. In diesem Blogbeitrag werde ich diese beiden Konzepte aufschlüsseln und erklären, wie sie sich unterscheiden. Dies ist von entscheidender Bedeutung für jeden, der seine Webanwendungen sichern und die Rolle von Frames bei der Websicherheit verstehen möchte.

X – Rahmen – Optionen

X – Frame – Options ist ein HTTP-Header, der einer der ersten Mechanismen zur Verhinderung von Clickjacking-Angriffen war. Clickjacking ist eine bösartige Technik, bei der ein Angreifer ein bösartiges anklickbares Element über einer legitimen Website versteckt. Wenn ein Benutzer auf einen seiner Meinung nach normalen Teil der Website klickt, löst er tatsächlich eine unerwünschte Aktion auf dem bösartigen Overlay aus.

Der Header „X – Frame – Options“ hat drei mögliche Werte:

• LEUGNEN: Dieser Wert verhindert, dass die Seite von einer anderen Seite eingerahmt wird. Egal welche Website versucht, Ihre Seite in eine einzubetten<iframe>,<Rahmen>,<Objekt>, oder<einbetten>, wird der Browser es blockieren. Wenn Sie beispielsweise über eine vertrauliche Finanztransaktionsseite verfügen, stellen Sie durch die Einstellung von X – Frame – Optionen auf DENY sicher, dass diese nicht in eine potenziell schädliche Website eingebettet werden kann.
• GLEICHER URSPRUNG: Die Seite kann nur von anderen Seiten eingerahmt werden, die denselben Ursprung (gleiches Protokoll, dieselbe Domäne und denselben Port) wie die Seite selbst haben. Dies ist nützlich, wenn Sie zulassen möchten, dass Ihre eigenen Unterseiten den Inhalt einrahmen, externe Websites dies jedoch nicht tun können. Wenn Sie beispielsweise über ein Unternehmensintranet verfügen, in dem möglicherweise verschiedene Bereiche der Website Inhalte einbetten müssen, bietet SAMEORIGIN ein gewisses Maß an Kontrolle.
• ERLAUBEN - VON: Dies ist eine flexiblere Option. Sie können einen bestimmten URI (Uniform Resource Identifier) ​​angeben, der die Seite umrahmen darf. Wenn Ihr Unternehmen also eine Partnerschaft mit einer anderen Website hat und Sie dieser die Einbettung Ihrer Inhalte erlauben möchten, können Sie ALLOW – FROM gefolgt von deren Domain verwenden.

X-Frame-Optionen weisen jedoch einige Einschränkungen auf. Es handelt sich um einen relativ einfachen Mechanismus mit begrenzter Flexibilität. Beispielsweise kann bei Verwendung von ALLOW - FROM nur ein Ursprung angegeben werden, und Platzhalter oder andere komplexe Muster werden nicht unterstützt.

Rahmen der Content Security Policy (CSP) – Vorfahren

Content Security Policy (CSP) ist eine umfassendere Sicherheitsfunktion, die eine Reihe von Regeln für die Arten von Ressourcen bereitstellt, die eine Webseite laden kann. Zu den zahlreichen Richtlinien gehört dieRahmen - VorfahrenDie Direktive dient speziell dazu, zu steuern, welche Seiten die aktuelle Seite umrahmen können.

DerRahmen - VorfahrenDie Direktive kann mehrere Quellwerte haben, darunter:

• 'selbst': Ähnlich wie der SAMEORIGIN-Wert von X – Frame – Optionen ermöglicht er, dass die Seite nur von Seiten desselben Ursprungs eingerahmt wird.
• 'keiner': Dies entspricht dem DENY-Wert der X-Frame-Optionen. Es verhindert vollständig, dass die Seite eingerahmt wird.
• Spezifische Domänen: Sie können mehrere Domains auflisten, zexample.comUndPartner - site.org, um nur diesen bestimmten Websites das Framen Ihrer Seite zu erlauben. Sie können auch Platzhalter verwenden, z*.example.com, um alle Subdomänen von zuzulassenexample.comum die Seite einzurahmen. Dadurch ist es wesentlich flexibler als X-Frame-Optionen.

CSP bietet auch erweiterte Funktionen. Es kann beispielsweise so konfiguriert werden, dass Sicherheitsverletzungen an einen Server zurückgemeldet werden. Dies bedeutet, dass Sie im Falle eines unbefugten Framing-Versuchs benachrichtigt werden können, sodass Sie Maßnahmen zur Verbesserung Ihrer Sicherheit ergreifen können.

Vergleich zwischen X-Frame-Optionen und CSP-Frame-Vorfahren

Flexibilität

Wie bereits erwähnt, sind CSP-Frame-Vorfahren weitaus flexibler als X-Frame-Optionen. X-Frame-Optionen können nur einen einzelnen Ursprung mit ALLOW-FROM angeben, während CSP-Frame-Vorfahren mehrere Domänen auflisten, Platzhalter verwenden und sogar verschiedene Quellwerte kombinieren können. Beispielsweise können Sie festlegenFrame - Ahnenselbst' *.trusted - partner.comum sowohl Self-Framing als auch Framing aus jeder Subdomäne von zu ermöglichenvertrauenswürdig - partner.com.

Kompatibilität

X-Frame-Optionen sind besser mit älteren Browsern kompatibel. Es wurde schon früher eingeführt und wird von den meisten modernen Browsern immer noch unterstützt. Da sich das Web jedoch weiterentwickelt, konzentrieren sich immer mehr Browser auf die CSP-Implementierung. CSP, einschließlich derRahmen - VorfahrenDie Direktive wird in modernen Browsern weitgehend unterstützt, funktioniert jedoch möglicherweise nicht in sehr alten Browsern.

Berichterstattung

X-Frame-Optionen verfügen über keinen integrierten Berichtsmechanismus. Sobald eine Blockierung erfolgt, gibt es keine Möglichkeit, Informationen über den versuchten Framing zurückzuerhalten. Im Gegensatz dazu kann CSP so konfiguriert werden, dass es Berichte sendet, wenn eine Sicherheitsrichtlinie verletzt wird. Mithilfe dieser Berichte können Sie Sicherheitsbedrohungen für Ihre Website überwachen und analysieren.

Wie sich dies auf mein X-Frame-Liefergeschäft auswirkt

Als X-Frame-Lieferant ist es wichtig, diese Sicherheitsmechanismen zu verstehen. Wenn unsere Kunden unsere nutzenFrame-X-BannerBei webbasierten Anzeigen oder Anwendungen müssen sie sicherstellen, dass der Inhalt sicher ist. Wenn sie das Banner mithilfe von Frames in ihre Website einbetten, müssen sie berücksichtigen, wie sich X-Frame-Optionen und CSP-Frame-Vorfahren auf die Sichtbarkeit und Sicherheit des Banners auswirken.

Wenn ein Kunde beispielsweise seinen Partnern erlauben möchte, das Frame Auf diese Weise können sie genau steuern, wer das Banner einrahmen darf, und gleichzeitig die Sicherheit gewährleisten.

Fazit und Aufruf zum Handeln

Zusammenfassend lässt sich sagen, dass sowohl die X-Frame-Optionen als auch die CSP-Frame-Vorfahren eine wichtige Rolle bei der Websicherheit spielen, es weisen jedoch deutliche Unterschiede auf. CSP Frame-Ancestors bietet mehr Flexibilität und erweiterte Funktionen, während X-Frame-Options einfachen und umfassenden Schutz mit guter Cross-Browser-Kompatibilität bietet.

Wenn Sie ein Geschäftsinhaber oder ein Webentwickler sind, der Ihre Webinhalte sichern und von hoher Qualität nutzen möchteFrame-X-BannerIch ermutige Sie, sich an mich zu wenden. Wir können besprechen, wie Sie Sicherheit und Funktionalität bei der Verwendung unserer X-Frames in Ihren Projekten in Einklang bringen können. Egal, ob Sie Ratschläge zum Einrichten der richtigen Sicherheits-Header benötigen oder mehr über unsere X-Frame-Produkte erfahren möchten, ich bin hier, um Ihnen zu helfen. Zögern Sie nicht, mich zu kontaktieren, um eine produktive Diskussion zu beginnen und Ihre Webprojekte auf die nächste Stufe zu bringen.

Referenzen

• RFC 7034 – HTTP-Header-Feld X – Frame – Optionen
• Spezifikation der W3C-Inhaltssicherheitsrichtlinie Level 3