Bezpieczeństwo aplikacji webowych · Senior · Pytanie 13 z 75
Polityka używa nonce, ale strona HTML jest cache'owana przez CDN i serwowana wielu użytkownikom. Co jest nie tak?
- 1Nic, nonce są przeznaczone do cache'owania
- ✓Poprawna odpowiedź: Każdy dostaje ten sam nonce, więc atakujący może go poznać i użyć we wstrzykniętym skrypcie
- 3CDN automatycznie usuwa nagłówki CSP
Wyjaśnienie
Nonce muszą być unikalne dla każdej odpowiedzi. Dla stron w cache użyj CSP opartej na hashach albo nie cache'uj HTML.