なぜ「CSP」は多くの現場で骨抜きにされるのか？——XSS防御の最前線
「XSS対策は入力値のバリデーションと出力エスケープだけで十分」——もし君がそう信じているなら、今すぐその考えを捨ててほしい。
現実のインシデント現場では、ライブラリの脆弱性、フロントエンドフレームワークの複雑なレンダリング、そして何より「どうしてもインラインスクリプトを書きたい」というビジネス側の強硬な要求によって、エスケープ漏れは必ずどこかで発生する。
Content-Security-Policy (CSP) は、そんな「穴」が開いた時の最後の砦だ。しかし、多くのエンジニアがunsafe-inlineを許可してしまい、結局XSSに対して無力なポリシーを運用している。今回は、CSPを単なる「お守り」から、攻撃者を完全に拒絶する「強固な防御壁」へと昇華させるための実践的アプローチを解説する。
—
1. 攻撃者が狙う「盲点」：インラインスクリプトの悪用
攻撃者は、 のような単純なタグを注入するだけではない。最近のトレンドは、DOM-based XSSを狙ったデータ属性の悪用や、既存の信頼されたライブラリを悪用した「ガレージ・スクリプティング」だ。
もし君のCSPが script-src 'self' 'unsafe-inline'; となっていたら、それは「玄関の鍵は閉めているが、窓は全開です」と言っているのと同じだ。攻撃者は容易に外部ドメインからスクリプトをロードし、セッションハイジャックや認証情報の窃取を行う。
これを防ぐ唯一の解は、「実行を許可するスクリプトを厳密に特定すること」。そのために、nonce（ナンス）という使い捨ての乱数トークンを導入する。
—
2. 実装の要：Nonceによる信頼チェーンの構築
Nonceの実装は、リクエストごとに予測不可能な値を生成し、それをヘッダーとスクリプトタグの両方に記述することで「このスクリプトはサーバーが意図的に埋め込んだものである」と証明する仕組みだ。
PHPでのNonce生成とCSPヘッダー付与例
まず、サーバーサイドでNonceを生成し、ポリシーを構築する。
—
3. インフラレイヤーでの制御（Nginxの設定）
アプリケーション側でNonceを付与するのがベストだが、既存のレガシーな環境で改修が難しい場合、あるいはCDN（CloudFront/Cloudflare）やNginxで制御したい場合、Content-Security-Policy-Report-Only を活用して、まずは違反を検知することから始めよう。
Nginx設定例：まずはReport-Onlyで違反を監視する
add_header Content-Security-Policy-Report-Only
“default-src ‘self’;
script-src ‘self’ https://trusted.cdn.com;
report-uri /csp-violation-report-endpoint;”;
運用開始時は、いきなり制限をかけると画面が真っ白になる（いわゆる「CSPで画面が壊れる」問題）。まずは report-uri または report-to ディレクティブで、どのスクリプトがポリシーに抵触しているかをログに吐き出し、数週間かけてホワイトリストを完成させるのが、現場を混乱させない鉄則だ。
—
4. セキュリティチーフからのアドバイス：運用を止めないために
現場でよくある失敗は、「完璧主義」による運用停止だ。以下の手順で進めるのが最も安全だ。
1. Report-Onlyモードでの運用開始: 少なくとも1〜2週間ログを収集する。
2. インラインスクリプトの外部化: onclick="doSomething()" のような記述をすべて addEventListener に書き換える。これはリファクタリングとしても健康的だ。
3. Strict CSPへの移行: インラインスクリプトを排除し、NonceまたはHash（スクリプト内容のハッシュ値）を利用するポリシーへ切り替える。
4. object-src 'none' を忘れるな: FlashやJavaアプレットなど、レガシーなプラグインを通じた攻撃を無効化する。これはコスト0で防御力を高められる最強の設定の一つだ。
最後に
セキュリティとは、単なる設定値の羅列ではない。「どこを信頼し、どこを排除するか」という意思決定の積み重ねだ。CSPを導入するということは、君たちが書くコードの「責任範囲」を明確にするということでもある。
明日から君のチームでも、'unsafe-inline' をポリシーから削除してみよう。最初はエラーが出るかもしれない。だが、そのエラーこそが、君たちのアプリケーションを守るための「正しい痛み」なのだから。
もし設定の細部で迷ったら、いつでも相談してくれ。堅牢なシステムを作るための議論を歓迎するよ。
コメント