![\"Sechs](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/fremdskript-lesen-de.png\")
Was Formatieren wiederherstellt und was nicht<\/h2>\n
Minifizierung entfernt Zeilenumbr\u00fcche und Einr\u00fcckung, k\u00fcrzt lokale Variablennamen auf ein bis zwei Zeichen und wirft Kommentare weg. Formatieren macht das Erste r\u00fcckg\u00e4ngig und sonst nichts.<\/p>\n
Das gen\u00fcgt, denn die Teile, auf die es ankommt, behalten ihre Namen. Eine Eigenschaft eines Browserobjekts – Der Browser kann dasselbe ohne Werkzeug: Der Quellenbereich hat eine Formatierschaltfl\u00e4che, die die Datei an Ort und Stelle aufklappt – der schnellere Weg f\u00fcr einen kurzen Blick und der falsche f\u00fcr eine dokumentierte Pr\u00fcfung, denn es bleibt keine Datei \u00fcbrig, gegen die sich beim n\u00e4chsten Mal vergleichen l\u00e4sst.<\/p>\n Jeder dieser L\u00e4ufe beantwortet eine Frage, und zusammen beschreiben sie, was das Skript zu tun vermag.<\/p>\n Die ersten beiden entscheiden, ob \u00fcberhaupt eine Einwilligungskategorie n\u00f6tig ist. Ein Skript, das weder etwas speichert noch etwas sendet, ist eine Darstellungshilfe; eines, das beides tut, ist eine Datenverarbeitung – und dieser Unterschied geh\u00f6rt in die Datenschutzerkl\u00e4rung und nicht in ein Ticket.<\/p>\n Der vierte verdient besondere Aufmerksamkeit bei allem, was in der N\u00e4he eines Formulars eingebunden ist. Ein Zuh\u00f6rer auf Der f\u00fcnfte ist die Gruppe der Wiedererkennungsmerkmale. Ein Canvas-Aufruf in einem Widget, das etwas zeichnet, ist erwartbar; ein Canvas-Aufruf in einem Analyseschnipsel, der nichts Sichtbares darstellt, hat einen Zweck – und dieser Zweck hat Folgen f\u00fcr die Einwilligung, ganz gleich, wie der Anbieter ihn nennt.<\/p>\n Das sind verschiedene Dinge, und der Unterschied ist ein Entscheidungspunkt und keine Feinheit.<\/p>\n Minifizierung ist eine Gr\u00f6\u00dfenoptimierung und l\u00e4sst lesbare Struktur zur\u00fcck. Verschleierung ist darauf angelegt, das Lesen zu verhindern, und hat erkennbare Merkmale: eine gro\u00dfe Liste hexadezimal kodierter Zeichenketten am Dateianfang, eine Indexfunktion, die darin nachschl\u00e4gt, Ein Treffer hier beweist keine b\u00f6se Absicht – manche Anbieter verschleiern, um die eigene Logik zu sch\u00fctzen. Er bedeutet aber, dass die sechs Suchl\u00e4ufe oben die Frage nicht mehr beantworten, denn die F\u00e4higkeiten lassen sich zur Laufzeit aus Zeichenketten zusammensetzen, die so in der Datei nicht stehen.<\/p>\n Die praktische Folge: Ein verschleiertes Fremdskript l\u00e4sst sich durch Lesen nicht pr\u00fcfen. \u00dcbrig bleibt das Verhalten – in einer Testseite laden, Netzwerk- und Speicherbereich aufzeichnen und mit dem vergleichen, was der Anbieter angibt. Ist das nicht hinnehmbar, lautet die Antwort nicht \u201ebesser suchen”, sondern \u201eanderer Anbieter”.<\/p>\n Der sechste Lauf liefert die unmittelbar n\u00fctzlichste Ausgabe: jede Domain, die die Datei nennt. Diese Liste geh\u00f6rt in die Sicherheitsrichtlinie, und sie aus der Datei zu bauen statt aus der Dokumentation f\u00e4ngt die Endpunkte ab, die die Dokumentation vergessen hat.<\/p>\n Zwei der vier sind die interessanten. Ein Host, der nur in einem Kommentar oder einer Dokumentationszeichenkette vorkommt, ist Rauschen; ein Host in einem Zuerst im Nur-Bericht-Modus zu starten ist die zus\u00e4tzliche Woche wert. Die Meldungen nennen jeden Host, den die Untersuchung \u00fcbersehen hat – und es gibt immer einen, denn ein Skript, das ein zweites Skript nachl\u00e4dt, erbt dessen Ziele, und die stehen in der ersten Datei nicht.<\/p>\n Alles Bisherige beschreibt eine Fassung einer Datei. Der Anbieter kann sie morgen ersetzen, und nichts am Auftritt w\u00fcrde es bemerken.<\/p>\n Bei einer statischen Datei schlie\u00dft Subresource Integrity diese L\u00fccke: eine Pr\u00fcfsumme im Skript-Tag, und der Browser verweigert eine Datei, die nicht dazu passt. Eine ge\u00e4nderte Datei l\u00e4dt dann nicht mehr, statt ungepr\u00fcft zu laufen – und das ist das richtige Scheitern.<\/p>\n Bei einem Tag-Container funktioniert das nicht, und der Grund ist grunds\u00e4tzlicher Art: Der Container soll sich \u00e4ndern, sobald jemand ver\u00f6ffentlicht. Eine Pr\u00fcfsumme m\u00fcsste bei jeder Ver\u00f6ffentlichung nachgezogen werden, was niemand tut – ein Container wird also ohne Integrit\u00e4tspr\u00fcfung geladen oder gar nicht.<\/p>\n Was dort an die Stelle tritt, ist eine Frage der Zust\u00e4ndigkeit und keine technische: Wer darf ver\u00f6ffentlichen, und sieht eine zweite Person auf die \u00c4nderung. Das ist die ehrliche Antwort, und sie lohnt sich als solche aufzuschreiben, statt so zu tun, als deckte ein Header sie ab.<\/p>\n Drei Dinge entgehen dem Lesen der Datei, und alle drei tauchen in der \u00dcberwachung auf statt in der Analyse.<\/p>\n Das erste ist das nachgeladene Skript. Ein Lader, der seine eigentliche Nutzlast zur Laufzeit holt, enth\u00e4lt keine der F\u00e4higkeiten, die diese Nutzlast hat – die sechs Suchl\u00e4ufe kommen sauber zur\u00fcck auf einer Datei, die nichts tut, au\u00dfer den interessanten Teil herunterzuladen. Eine Das zweite ist bedingtes Verhalten. Ein Skript, das nur auf bestimmten Seiten, in bestimmten L\u00e4ndern oder ab einem bestimmten Datum erhebt, ist vollst\u00e4ndig lesbar und gibt keinen Anlass, ausgerechnet den entscheidenden Zweig anzusehen. Nur die Beobachtung \u00fcber die Zeit findet das, und ein w\u00f6chentlicher Abgleich gegen die gespeicherte Kopie ist die g\u00fcnstigste Form davon.<\/p>\n Das dritte ist, was der Anbieter mit den Daten nach ihrer Ankunft tut, und das beantwortet keine Datei auf dieser Seite. Das geh\u00f6rt in den Vertrag – und die technische Pr\u00fcfung ist das, was den Vertrag genau genug macht, um ihn unterschreiben zu wollen: Die Pr\u00fcfung benennt die Endpunkte, die Speicherschl\u00fcssel und die Ereignisse und macht aus einer allgemeinen Zusicherung eine Liste, an der sich jemand festhalten l\u00e4sst.<\/p>\n Nein. Die Pr\u00fcfsumme gilt nur f\u00fcr das eine Skript-Tag, in dem sie steht. Legt der Lader zur Laufzeit ein neues Skript-Element an, pr\u00fcft der Browser dessen Datei nur dann, wenn der Lader selbst ein integrity-Attribut mitgibt, und das tut er in aller Regel nicht. Der festgenagelte Lader kann also unver\u00e4ndert bleiben, w\u00e4hrend die Nutzlast, die er holt, jeden Tag eine andere sein kann.<\/p>\n Die L\u00fccke schlie\u00dft an dieser Stelle die Sicherheitsrichtlinie, nicht die Pr\u00fcfsumme: Eine script-src-Anweisung ohne Platzhalter l\u00e4sst die zweite Datei nur von einem ausdr\u00fccklich eingetragenen Host laden. Die Nutzlast ist dann eine eigene Datei, die dieselben sechs Suchl\u00e4ufe durchl\u00e4uft wie der Lader, und ihre Pr\u00fcfsumme kommt in den w\u00f6chentlichen Abgleich.<\/p>\n Eine Datei von einem fremden Host l\u00e4sst sich nur pr\u00fcfen, wenn der Browser sie \u00fcber CORS abruft; ohne diesen Modus bleibt ihr Inhalt f\u00fcr die Pr\u00fcfung unzug\u00e4nglich, und der Browser verweigert das Skript. Eine abweichende Pr\u00fcfsumme sagt nur, dass sich die Datei ge\u00e4ndert hat, nicht was. Sinnvoll ist eine feste Reihenfolge:<\/p>\n Ist das Skript mit Subresource Integrity eingebunden, l\u00e4dt es nach der \u00c4nderung ohnehin nicht mehr, bis die Pr\u00fcfsumme im Skript-Tag nachgezogen ist. Ob sie nachgezogen wird, entscheidet dann diese Pr\u00fcfung.<\/p>\n<\/div>\nlocalStorage<\/code>, fetch<\/code>, navigator<\/code> – l\u00e4sst sich nicht umbenennen, sonst erkennt der Browser sie nicht mehr. Jede F\u00e4higkeit eines Skripts steht deshalb weiterhin ausgeschrieben da, umgeben von Variablen namens a<\/code>, t<\/code> und e<\/code>.<\/p>\n# eine Kopie holen und formatieren\ncurl -s https:\/\/cdn.anbieter.example\/widget.js -o widget.min.js\nnpx js-beautify widget.min.js -o widget.js\n\n# Groesse vorher und nachher sagt, wie stark verdichtet war\nwc -c widget.min.js widget.js<\/code><\/pre>\nDie sechs Dinge, nach denen sich suchen lohnt<\/h2>\n
# 1 sendet es etwas hinaus?\ngrep -nE 'fetch\\(|XMLHttpRequest|sendBeacon|new Image|WebSocket' widget.js\n\n# 2 schreibt es etwas dauerhaft?\ngrep -nE 'localStorage|sessionStorage|document\\.cookie|indexedDB' widget.js\n\n# 3 laedt es weiteren Code nach?\ngrep -nE \"createElement\\(['\\\"]script|\\\\.src\\\\s*=|import\\\\(\" widget.js\n\n# 4 liest es Eingaben mit?\ngrep -nE \"addEventListener\\\\(['\\\"](input|keydown|keyup|change|submit)\" widget.js\n\n# 5 erhebt es Geraetemerkmale?\ngrep -nE 'getContext|AudioContext|navigator\\.(plugins|hardwareConcurrency)|RTCPeerConnection' widget.js\n\n# 6 wohin geht es?\ngrep -oE 'https?:\/\/[a-z0-9.-]+' widget.js | sort -u<\/code><\/pre>\ninput<\/code> ist nicht automatisch eine Tastaturaufzeichnung – ein Chatfenster h\u00f6rt berechtigt auf sein eigenes Feld -, aber die Pr\u00fcfung lautet, an welches Element er gebunden ist, und das steht wenige Zeilen weiter unten.<\/p>\nMinifiziert von verschleiert unterscheiden<\/h2>\n
String.fromCharCode<\/code> in einer Schleife, atob<\/code> um etwas, das kein Bild ist, und vor allem eval<\/code> oder new Function<\/code> auf einer zusammengesetzten Zeichenkette.<\/p>\ngrep -nE 'eval\\(|new Function\\(|atob\\(|String\\.fromCharCode|\\\\\\\\x[0-9a-f]{2}' widget.js<\/code><\/pre>\nDie Hostliste herausziehen<\/h2>\n
grep -oE 'https?:\/\/[a-z0-9.-]+' widget.js | sort -u\n\nhttps:\/\/cdn.anbieter.example\nhttps:\/\/api.anbieter.example\nhttps:\/\/events.anbieter.example\nhttps:\/\/fonts.gstatic.com<\/code><\/pre>\nfetch<\/code>-Aufruf ist ein Ziel. Zu pr\u00fcfen, welcher was ist, kostet je Host einen weiteren Suchlauf und ist der Unterschied zwischen einer Richtlinie, die funktioniert, und einer, die aus einem Blogbeitrag abgeschrieben ist.<\/p>\nContent-Security-Policy:\n script-src 'self' https:\/\/cdn.anbieter.example;\n connect-src 'self' https:\/\/api.anbieter.example https:\/\/events.anbieter.example;\n font-src 'self' https:\/\/fonts.gstatic.com;<\/code><\/pre>\nFestnageln, und wo das scheitert<\/h2>\n
<script src=\"https:\/\/cdn.anbieter.example\/widget.js\"\n integrity=\"sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K\/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC\"\n crossorigin=\"anonymous\"><\/script><\/code><\/pre>\nWas nur die \u00dcberwachung zeigt<\/h2>\n
script-src<\/code>-Anweisung ohne Platzhalter macht das sichtbar, denn die zweite Datei braucht einen eigenen Eintrag.<\/p>\ncurl -s https:\/\/cdn.anbieter.example\/widget.js | sha256sum\n# gegen den gespeicherten Wert vergleichen, woechentlich<\/code><\/pre>\nFragen und Antworten<\/h2>\n
Sch\u00fctzt Subresource Integrity auch das Skript, das ein Lader zur Laufzeit nachholt?<\/h3>\n
Wozu dient das Attribut crossorigin im Skript-Tag mit der Pr\u00fcfsumme?<\/h3>\n
crossorigin=\"anonymous\"<\/code> schaltet diesen Modus ein und schickt dabei keine Cookies mit. Voraussetzung ist, dass der Anbieter die Datei mit einem passenden Access-Control-Allow-Origin-Header ausliefert; fehlt er, l\u00e4dt das Skript trotz richtiger Pr\u00fcfsumme nicht.<\/p>\nWas ist zu tun, wenn der w\u00f6chentliche Pr\u00fcfsummenvergleich eine Abweichung meldet?<\/h3>\n
\n
sendBeacon<\/code> oder ein Zugriff auf document.cookie<\/code>, ist der Befund, auf den es ankommt.<\/li>\n