Sicherheit von Webanwendungen · Senior · Frage 13 von 75
Eine Richtlinie nutzt ein Nonce, aber die HTML-Seite wird von einem CDN gecacht und vielen Nutzern ausgeliefert. Was ist falsch?
- 1Nichts, denn Nonces sind dafür gemacht, von CDNs gecacht zu werden
- 2Alle bekommen dasselbe Nonce, ein Angreifer kann es also lernen
- 3Das CDN entfernt alle CSP-Header aus gecachten Antworten
Antwort zeigen
Richtige Antwort: Alle bekommen dasselbe Nonce, ein Angreifer kann es also lernen
Erklärung
Nonces müssen pro Antwort eindeutig sein. Für gecachte Seiten nutze eine CSP auf Hash-Basis oder cache das HTML nicht.