¿Es este un método seguro para configurar dinámicamente las opciones de X-Frame? (múltiples dominios)

Question

¿Es este un método seguro para configurar dinámicamente las opciones de X-Frame? (múltiples dominios)

#1 de Steffen Ullrich (5 votos)

4

El encabezado

X-Frame-Options evitará que su sitio sea iFramed por otros dominios. En los navegadores que aceptan la directiva ALLOW-FROM , está limitado a especificar un solo origen. Podría usar una directiva CSP 2.0 frame-ancestors para los modernos UA's.

Dicho esto, es posible generar dinámicamente un encabezado de respuesta basado en el remitente de la solicitud y decidir qué tipo de encabezado X-Frame-Options establecer en la respuesta.

Por ejemplo, podría servir por defecto X-Frame-Options: deny y luego, en el nivel del Controlador, representar un deny o simplemente no enviar ningún encabezado X-Frame-Options para permitir que esa solicitud sea iFramed.

Pseudo código:

referer_host = request.referer
if allowed_origins.includes(referer_host)
  response.headers['X-Frame-Options'] = '' # Remove header from response
else
  response.headers['X-Frame-Options'] = 'deny'
end

¿Puede este mecanismo de seguridad ser derrotado? ¿Es posible que un dominio controlado por un atacante falsifique el valor referer que la UA enviará a través de alguna piratería de JavaScript?

web-application xss clickjacking

pregunta Alex Urcioli 05.04.2016 - 23:30

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-application xss clickjacking

Cambiar clave de cifrado LUKS (no frase de contraseña) sin dataloss Vulnerabilidad de informes en el sistema informático de la escuela

score 5 · Accepted Answer

Por lo que sé, es imposible insertar un encabezado de remitente completamente falso dentro de una sesión de navegación normal. Pero hay varias formas de asegurarse de que no se envíe ningún encabezado de referencia. Por lo tanto, siempre que solo permita que se enmarque si el encabezado del Referer está establecido y que el dominio en el Referer tiene permiso explícito para enmarcar su sitio, debería estar seguro.

Pero tenga en cuenta que debe asegurarse de que su cheque no arroje a ciegas algunas expresiones regulares en el Referer para verificar good-site porque de esta manera también se le permitirá enmarcar algo como http://bad-site/good-site/ o http://good-site.bad-site/ . No serías el primero en cometer ese error.