【入門編】 Content-Security-Policy (CSP)のディレクティブ詳細設定 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド

こんにちは！セキュリティの現場で日々、泥臭いインシデント対応や脆弱性との格闘をしているホワイトハッカーの私です。

「セキュリティ」や「暗号化」と聞くと、なんだか難しそうな数式や、プログラミングの深ーい知識が必要な気がして身構えてしまいますよね。でも、安心してください。今日お話しする Content-Security-Policy（通称：CSP） は、私たちが普段暮らしている「お家の防犯対策」に置き換えて考えると、驚くほどすんなりと頭に入ってきます。

新人のIT担当者の方や、「セキュリティのことはまだ少し不安…」という開発者の方に向けて、攻撃者がどこを狙ってくるのか、そしてどうやってお家を守ればいいのかを、一つずつ優しく紐解いていきましょう！

—

1. 泥棒はどこから侵入する？XSS（クロスサイトスクリプティング）の脅威

まずは、私たちが日々向き合っている「XSS（クロスサイトスクリプティング）」という攻撃のメカニズムを、身近な例えで見てみましょう。

想像してみてください。あなたが大切なお家の玄関に、みんなが自由に書き込める「伝言板」を置いたとします。
ある日、悪意を持った泥棒がやってきて、その伝言板にこんなメモを貼っていきました。

「お家の中の合鍵（パスワードや個人情報）をこっそり持ってきて、あそこの怪しいポストに投函しなさい！」

もし、家族（＝Webサイトのユーザー）がこのメモをうっかり信じて、その通りに動いてしまったらどうでしょう？合鍵は簡単に盗まれてしまいますよね。

Webの世界でもこれとまったく同じことが起きています。掲示板やプロフィール画面など、ユーザーが入力できる場所に悪意あるプログラム（悪だくみをするJavaScript）をこっそり仕込み、サイトを訪れた別の人にそのプログラムを実行させてしまう攻撃、これが XSS です。

—

2. お家のセキュリティを劇的に変える「Content-Security-Policy (CSP)」とは？

「じゃあ、伝言板をなくせばいいの？」いいえ、便利な機能は残したいですよね。そこで登場するのが、今回の主役である Content-Security-Policy (CSP) です。

CSPを分かりやすく言うと、「我が家（Webブラウザ）に入るもの、動かすものを厳しくチェックする凄腕の警備員」です。

「この部屋の中で動いていいのは、我が家の家族（＝信頼できるスクリプト）だけ！よそから来た怪しいやつらは、たとえどんな言葉巧みであっても、一歩たりとも中に入れない（実行させない）！」という強力なルールを、Webブラウザに指示するためのHTTPヘッダーになります。

—

3. CSPの主要なディレクティブ（警備の持ち場）を覚えよう

CSPでは、守る対象ごとに「ディレクティブ」と呼ばれる持ち場が用意されています。代表的なものをいくつか見てみましょう。

script-src: Webサイト上で動くプログラム（JavaScript）のルールを決める、一番重要な持ち場です。
object-src: プラグイン（Flashなど。今の時代はほぼ使いませんが）の読み込みを制限します。基本的に 'none'（一切禁止）にするのが鉄則です。
connect-src: データを外へ送信したり、通信したりする宛先を制限します。「勝手に怪しいサーバーにデータを送るな！」と見張ります。

これらを組み合わせて、「うちのサイトはここまで厳重に守っていますよ」とブラウザにお知らせするわけですね。

—

4. なぜ「nonce（ナンス）」や「hash（ハッシュ）」が必要なの？

さて、ここで少し現場の悩ましい現実をお話しします。
「外部から読み込む怪しいプログラムは全部禁止！」と厳しくすると、自分たちが開発でどうしても使いたい正規の便利なJavaScriptライブラリや、HTMLに直接書いた小さなスクリプトまで「怪しいやつ」としてブロックされてしまうのです。

これでは本末転倒ですよね。「泥棒は入れないけれど、家族は通したい」。その絶妙なコントロールを可能にするのが、nonce（ナンス） と hash（ハッシュ） という技術です。

使い捨ての「合言葉（nonce）」の仕組み

nonce は、ページを表示するたびに自動生成される、「一度きりしか使えない使い捨てのパスポート（合言葉）」のようなものです。

1. サーバーがページを作るときに、毎回ランダムな文字列（例: nonce-XYZ123）を発行します。
2. サーバーはCSPヘッダーに「この nonce-XYZ123 というパスポートを持っているスクリプトだけ動かしていいよ」と宣言します。
3. HTML側でも、信頼できるスクリプトのタグに同じパスポートを持たせます。

これなら、泥棒が勝手にスクリプトを書き込んでも、正しいパスポート（nonceの値）を持っていないので、ブラウザは「お前はダメだ！」とビシッと弾き返してくれます。

—

5. 実践！安全なCSPヘッダーの構成例

それでは、実際の現場で使える具体的な設定を見ていきましょう。
今回は、PHPを使ってHTTPレスポンスヘッダーに強力なCSPを設定するサンプルコードをご紹介します。

<?php
// 1. ページ読み込みごとに推測されにくいランダムな「nonce（合言葉）」を生成する
// これにより、攻撃者が勝手にスクリプトを挿入しても実行できなくなります
$nonceValue = base64_encode(random_bytes(16));

// 2. CSPヘッダーを組み立ててブラウザに送信する
// ここで「我が家の警備ルール」を詳細に定義します
header("Content-Security-Policy: " .
    "default-src 'self'; " .                                              // 基本は「自分のオリジン（同じドメイン）」からのみ読み込みを許可
    "script-src 'self' 'nonce-" . $nonceValue . "'; " .                   // JavaScriptは自分自身と、正しいnonceを持つものだけ許可
    "object-src 'none'; " .                                               // プラグイン（Flashなど）の実行は一切禁止（鉄則です！）
    "style-src 'self' 'unsafe-inline'; " .                                // スタイルシートは自分自身と、デザイン都合上やむを得ないインラインを許可（※本当はstyle-srcも厳格化するのが理想です）
    "connect-src 'self' https://api.yoursite.com;"                        // データの通信先は、自分自身と信頼できるAPIサーバーのみに限定
);
?>
<!DOCTYPE html>
<html lang="ja">
<head>
    <meta charset="UTF-8">
    <title>CSP防御サンプルページ</title>

    <!-- 3. 許可された正しいインラインスクリプトの例 -->
    <!-- 先ほど生成した nonce="$nonceValue" を持たせているため、ブラウザは安全なものと判断して実行します -->
    <script nonce="<?php echo htmlspecialchars($nonceValue, ENT_QUOTES, 'UTF-8'); ?>">
        console.log("このスクリプトは安全な家族なので実行されます！");
    </script>
</head>
<body>
    <h1>CSP（Content-Security-Policy）のテストページへようこそ</h1>
    <p>このページは厳重な警備員（CSP）によってXSSから守られています。</p>

    <!-- 4. 攻撃者が勝手に挿入したと仮定する危険なスクリプトの例 -->
    <!-- このタグには正しい nonce が含まれていないため、ブラウザのCSPによって強制的にブロックされます -->
    <script>
        // 万が一、掲示板などにこのタグが混入しても実行されません！
        alert("泥棒（攻撃者）のスクリプトが実行されました！");
    </script>
</body>
</html>

コードのポイント解説

default-src 'self';: 基本方針として、画像やスクリプトなどの読み込みは「自分のサイト内」に限定しています。
script-src 'self' 'nonce-...': ここがキモです。'unsafe-inline'（インラインスクリプトを無条件に許可する危険な設定）をあえて排除し、nonce を使って「正当な書き手」だけを許可しています。
object-src 'none';: 古いブラウザの脆弱性を突く攻撃などを防ぐため、プラグインの読み込みは完全にシャットアウトしています。

—

6. まとめ：一歩ずつ、確実なセキュリティ対策を

今回は、XSSの脅威からWebサイトを守るための強力な盾である Content-Security-Policy (CSP) について、お家の防犯や合言葉の例えを交えて解説しました。

最初は「覚えることが多くて大変だな…」と感じるかもしれませんが、
1. まずは object-src 'none' など、簡単に取り入れられるものから始める
2. 慣れてきたら script-src と nonce を導入して、動かすプログラムを厳しくコントロールする

このように、一歩ずつ確実に設定を積み上げていくことが、頑丈なWebアプリケーションを作る一番の近道です。

日々の開発やインフラ構築の中で、「本当にこのデータやスクリプトは信頼できるっけ？」と立ち止まる視点を持つこと。それこそが、最高峰のセキュリティエンジニアへの第一歩です。一緒にセキュアなWebの世界を作っていきましょう！