【入門編】Content-Security-Policy (CSP) によるXSSの緩和とディレクティブ設計 – アプリケーションセキュリティ & 安全な開発防御ガイド

なぜあなたのサイトは「招かざる客」に操られるのか？CSPで防ぐXSSの恐怖

こんにちは。セキュリティの世界へようこそ。今日は、Webサイトの「防犯対策」における最強の武器の一つ、Content-Security-Policy（CSP）についてお話しします。

「クロスサイトスクリプティング（XSS）」という言葉、聞いたことはありますか？エンジニア界隈では恐れられている攻撃ですが、これがなぜ起きるのか、どう防げばいいのか、身近な例えを使って紐解いていきましょう。

—

まず、XSSの怖さを「家」に例えてみます。

あなたのWebサイトを一つの「家」だと思ってください。通常、家の中の家具（スクリプト）は、あなたが信頼する職人が配置したものだけですよね。しかし、XSSとは、「悪意ある泥棒が、あなたの家の鍵を複製し、勝手に偽物の家具を運び込んで、あなたの家族（ユーザー）を騙す」ような手口なんです。

泥棒は、入力フォームなどに細工したスクリプトを仕込みます。それがブラウザ上で実行されると、そのページを見ているユーザーのクッキー（ログイン情報など）を盗んだり、偽の銀行ログイン画面を表示させたりします。

「ブラウザは、このスクリプトが本物か偽物かを区別せずに、とりあえず実行してしまう」。これが最大の問題点であり、XSSが今なお猛威を振るう理由です。

—

そこで登場するのが CSP（Content-Security-Policy） です。これは、Webサイトがブラウザに対して出す「命令書」のようなものです。

「この家には、私が認めた特定の職人（スクリプト）しか入れない！それ以外は、たとえ誰が持ってきた鍵でも拒否しなさい！」

とブラウザに指示を出すことで、泥棒がどんなに巧妙な細工をしても、ブラウザが「お前は許可リストに載っていないから動かさない！」と門前払いしてくれるようになるのです。これがCSPの基本的な考え方です。

—

実際にCSPを設定するには、HTTPヘッダーに以下のような値を送ります。まずは、最も重要な script-src（スクリプトの実行許可）の設定から見ていきましょう。

サーバーの応答ヘッダーとして設定する例
Content-Security-Policy: default-src ‘self’; script-src ‘self’ ‘nonce-random123’; object-src ‘none’;

この設定、少し詳しく解説しますね。

default-src 'self': 基本的に、自分のサイトと同じドメインにあるもの以外は読み込まないという「基本方針」です。
script-src 'self' 'nonce-random123':
'self' は、自分のサーバーにあるスクリプトを許可します。
'nonce-random123' は、魔法の鍵（nonce）です。HTML内のスクリプトタグにこの同じ値が書いてあれば実行を許可します。泥棒は毎回変わるこの値を推測できないので、スクリプトを勝手に挿入できません。
object-src 'none': Flashなどの古いプラグインを禁止します。今はもう不要な技術なので、問答無用でシャットアウトするのが鉄則です。

Nonceとは「Number used once（一度だけ使われる数）」の略です。ページが表示されるたびにサーバー側でランダムな文字列を生成し、それをHTMLに埋め込みます。

HTML側の実装イメージ:

—

いきなりガチガチに設定すると、動いていた機能が動かなくなることがあります。「まずは既存のサイトを壊さずに状況を知りたい」という時に便利なのが、Content-Security-Policy-Report-Only です。

これを使うと、ブラウザは「もしこの設定を適用したら、どこがブロックされるか」をサーバーに報告してくれるだけで、実際にブロックは行いません。

運用開始時はまずこれでテスト！
Content-Security-Policy-Report-Only: default-src ‘self’; report-uri /csp-violation-report-endpoint;

これを使って、ログを確認しながら「あ、このライブラリも許可リストに入れておかなきゃ」と一つずつ安全な状態へ調整していくのが、現場での賢い進め方です。

—

セキュリティに「絶対」はありません。しかし、CSPを導入することで、万が一アプリケーションに脆弱性があったとしても、泥棒の「最後のひと押し」を防ぐ強力な壁になります。

最初は難しく感じるかもしれませんが、まずは「自分のサイトで動いているスクリプトはどれか？」を把握することから始めてみてください。それが、あなたのユーザーを守る第一歩になります。

一歩ずつ、丁寧に。安全なWebサイトを一緒に作っていきましょう！