![\"Sze\u015b\u0107](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/fremdskript-lesen-pl.png\")
Co formatowanie przywraca, a czego nie<\/h2>\n
Minifikacja usuwa ko\u0144ce linii i wci\u0119cia, skraca nazwy zmiennych lokalnych do jednego lub dw\u00f3ch znak\u00f3w i wyrzuca komentarze. Formatowanie cofa pierwsze z tego i nic poza tym.<\/p>\n
To wystarcza, bo cz\u0119\u015bci, na kt\u00f3rych zale\u017cy, zachowuj\u0105 nazwy. W\u0142a\u015bciwo\u015bci obiektu przegl\u0105darki – Przegl\u0105darka potrafi to samo bez narz\u0119dzia: panel \u017ar\u00f3de\u0142 ma przycisk formatowania rozwijaj\u0105cy plik na miejscu – droga szybsza przy kr\u00f3tkim spojrzeniu i b\u0142\u0119dna przy przegl\u0105dzie dokumentowanym, bo nie zostaje \u017caden plik, z kt\u00f3rym da\u0142oby si\u0119 por\u00f3wna\u0107 nast\u0119pnym razem.<\/p>\n Ka\u017cde z tych przeszuka\u0144 odpowiada na jedno pytanie, a razem opisuj\u0105, co skrypt jest w stanie zrobi\u0107.<\/p>\n Dwa pierwsze rozstrzygaj\u0105, czy w og\u00f3le potrzebna jest kategoria zgody. Skrypt, kt\u00f3ry nic nie przechowuje i nic nie wysy\u0142a, jest pomoc\u0105 wy\u015bwietlaj\u0105c\u0105; taki, kt\u00f3ry robi jedno i drugie, jest przetwarzaniem danych – a ta r\u00f3\u017cnica nale\u017cy do polityki prywatno\u015bci, a nie do zg\u0142oszenia.<\/p>\n Czwarty zas\u0142uguje na szczeg\u00f3ln\u0105 uwag\u0119 przy wszystkim osadzonym w pobli\u017cu formularza. Nas\u0142uch na Pi\u0105ty to grupa cech rozpoznawczych. Wywo\u0142anie canvas w widgecie, kt\u00f3ry co\u015b rysuje, jest spodziewane; wywo\u0142anie canvas we fragmencie analitycznym, kt\u00f3ry nie wy\u015bwietla nic widocznego, ma jeden cel – a ten cel niesie skutki dla zgody, niezale\u017cnie od tego, jak nazywa go dostawca.<\/p>\n To r\u00f3\u017cne rzeczy, a r\u00f3\u017cnica jest punktem rozstrzygni\u0119cia, a nie subtelno\u015bci\u0105.<\/p>\n Minifikacja jest optymalizacj\u0105 rozmiaru i zostawia czyteln\u0105 struktur\u0119. Zaciemnianie jest pomy\u015blane tak, by uniemo\u017cliwi\u0107 czytanie, i ma rozpoznawalne cechy: du\u017c\u0105 list\u0119 ci\u0105g\u00f3w zakodowanych szesnastkowo na pocz\u0105tku pliku, funkcj\u0119 indeksuj\u0105c\u0105 wyszukuj\u0105c\u0105 w niej, Trafienie w tym miejscu nie dowodzi z\u0142ej woli – cz\u0119\u015b\u0107 dostawc\u00f3w zaciemnia, by chroni\u0107 w\u0142asn\u0105 logik\u0119. Oznacza jednak, \u017ce sze\u015b\u0107 powy\u017cszych przeszuka\u0144 przestaje odpowiada\u0107 na pytanie, bo zdolno\u015bci daj\u0105 si\u0119 z\u0142o\u017cy\u0107 w czasie dzia\u0142ania z ci\u0105g\u00f3w, kt\u00f3rych w takiej postaci w pliku nie ma.<\/p>\n Skutek praktyczny: zaciemnionego skryptu obcego nie da si\u0119 sprawdzi\u0107 przez czytanie. Zostaje zachowanie – wczyta\u0107 w stronie testowej, zapisa\u0107 panel sieci i panel pami\u0119ci i por\u00f3wna\u0107 z tym, co podaje dostawca. Je\u017celi to nie jest do przyj\u0119cia, odpowiedzi\u0105 nie jest \u201elepiej szuka\u0107”, lecz \u201einny dostawca”.<\/p>\n Sz\u00f3ste przeszukanie daje wynik najbardziej u\u017cyteczny od razu: ka\u017cd\u0105 domen\u0119 wymienion\u0105 w pliku. Ta lista nale\u017cy do polityki bezpiecze\u0144stwa, a zbudowanie jej z pliku zamiast z dokumentacji wy\u0142apuje punkty ko\u0144cowe, o kt\u00f3rych dokumentacja zapomnia\u0142a.<\/p>\n Dwa z czterech s\u0105 tymi ciekawymi. Host pojawiaj\u0105cy si\u0119 wy\u0142\u0105cznie w komentarzu albo w ci\u0105gu dokumentacyjnym jest szumem; host w wywo\u0142aniu Rozpocz\u0119cie w trybie samego raportowania warte jest tego dodatkowego tygodnia. Zg\u0142oszenia wymieniaj\u0105 ka\u017cdy host przeoczony przez analiz\u0119 – a taki zawsze si\u0119 znajdzie, bo skrypt do\u0142adowuj\u0105cy drugi skrypt dziedziczy jego cele, a tych w pierwszym pliku nie ma.<\/p>\n Wszystko powy\u017csze opisuje jedn\u0105 wersj\u0119 jednego pliku. Dostawca mo\u017ce j\u0105 jutro wymieni\u0107 i nic w witrynie tego nie zauwa\u017cy.<\/p>\n Przy pliku statycznym luk\u0119 t\u0119 domyka Subresource Integrity: suma kontrolna w znaczniku skryptu, a przegl\u0105darka odrzuca plik do niej niepasuj\u0105cy. Zmieniony plik przestaje si\u0119 wtedy wczytywa\u0107, zamiast dzia\u0142a\u0107 niesprawdzony – i to jest w\u0142a\u015bciwa pora\u017cka.<\/p>\n Przy kontenerze tag\u00f3w to nie dzia\u0142a, a pow\u00f3d jest zasadniczy: kontener ma si\u0119 zmienia\u0107, gdy tylko kto\u015b opublikuje. Suma kontrolna musia\u0142aby by\u0107 uzupe\u0142niana przy ka\u017cdej publikacji, czego nikt nie robi – kontener wczytywany jest wi\u0119c bez sprawdzania integralno\u015bci albo wcale.<\/p>\n To, co wchodzi tam na jego miejsce, jest pytaniem o odpowiedzialno\u015b\u0107, a nie technicznym: kto mo\u017ce publikowa\u0107 i czy na zmian\u0119 patrzy druga osoba. To odpowied\u017a uczciwa i warto zapisa\u0107 j\u0105 w\u0142a\u015bnie tak, zamiast udawa\u0107, \u017ce pokrywa j\u0105 nag\u0142\u00f3wek.<\/p>\n Trzy rzeczy umykaj\u0105 czytaniu pliku, a wszystkie trzy pojawiaj\u0105 si\u0119 w obserwacji, a nie w analizie.<\/p>\n Pierwsz\u0105 jest skrypt do\u0142adowany. \u0141adowacz pobieraj\u0105cy w\u0142a\u015bciw\u0105 zawarto\u015b\u0107 w czasie dzia\u0142ania nie zawiera \u017cadnej ze zdolno\u015bci, kt\u00f3re ta zawarto\u015b\u0107 ma – sze\u015b\u0107 przeszuka\u0144 wraca czysto z pliku, kt\u00f3ry nie robi nic poza pobraniem ciekawej cz\u0119\u015bci. Dyrektywa Drug\u0105 jest zachowanie warunkowe. Skrypt zbieraj\u0105cy dane tylko na okre\u015blonych stronach, w okre\u015blonych krajach albo od okre\u015blonej daty jest w pe\u0142ni czytelny i nie daje powodu, by zajrze\u0107 akurat w rozstrzygaj\u0105c\u0105 ga\u0142\u0105\u017a. Znajduje to wy\u0142\u0105cznie obserwacja w czasie, a cotygodniowe zestawienie z zachowan\u0105 kopi\u0105 jest jej najta\u0144sz\u0105 postaci\u0105.<\/p>\n Trzeci\u0105 jest to, co dostawca robi z danymi po ich dotarciu, a na to nie odpowie \u017caden plik po tej stronie. To nale\u017cy do umowy – a przegl\u0105d techniczny jest tym, co czyni umow\u0119 dostatecznie konkretn\u0105, by chcie\u0107 j\u0105 podpisa\u0107: wymienia punkty ko\u0144cowe, klucze pami\u0119ci i zdarzenia, i zamienia og\u00f3lne zapewnienie w list\u0119, do kt\u00f3rej da si\u0119 kogo\u015b przypi\u0105\u0107.<\/p>\n Nie. Suma kontrolna dotyczy tylko tego jednego znacznika skryptu, w kt\u00f3rym si\u0119 znajduje. Gdy \u0142adowacz w czasie dzia\u0142ania tworzy nowy element skryptu, przegl\u0105darka sprawdza jego plik tylko wtedy, gdy sam \u0142adowacz poda atrybut integrity, a zwykle tego nie robi. Przypi\u0119ty \u0142adowacz mo\u017ce wi\u0119c pozosta\u0107 bez zmian, podczas gdy zawarto\u015b\u0107, kt\u00f3r\u0105 pobiera, mo\u017ce by\u0107 ka\u017cdego dnia inna.<\/p>\n T\u0119 luk\u0119 domyka w tym miejscu polityka bezpiecze\u0144stwa, a nie suma kontrolna: dyrektywa script-src bez symbolu wieloznacznego pozwala wczyta\u0107 drugi plik tylko z hosta wpisanego wprost. Sama zawarto\u015b\u0107 jest wtedy osobnym plikiem: przechodzi przez te same sze\u015b\u0107 przeszuka\u0144 co \u0142adowacz, a jej suma kontrolna trafia do cotygodniowego por\u00f3wnania.<\/p>\n Plik z obcego hosta da si\u0119 sprawdzi\u0107 tylko wtedy, gdy przegl\u0105darka pobiera go przez CORS; bez tego trybu jego zawarto\u015b\u0107 pozostaje dla kontroli niedost\u0119pna, a przegl\u0105darka odrzuca skrypt. Inna suma kontrolna m\u00f3wi tylko, \u017ce plik si\u0119 zmieni\u0142, a nie co si\u0119 zmieni\u0142o. Sensowna jest sta\u0142a kolejno\u015b\u0107:<\/p>\n Je\u015bli skrypt jest osadzony z Subresource Integrity, po zmianie i tak przestaje si\u0119 wczytywa\u0107, dop\u00f3ki suma kontrolna w znaczniku skryptu nie zostanie zaktualizowana. O tym, czy zostanie zaktualizowana, rozstrzyga wtedy w\u0142a\u015bnie ta kontrola.<\/p>\n<\/div>\nlocalStorage<\/code>, fetch<\/code>, navigator<\/code> – nie da si\u0119 przemianowa\u0107, bo przegl\u0105darka przesta\u0142aby j\u0105 rozpoznawa\u0107. Ka\u017cda zdolno\u015b\u0107 skryptu stoi wi\u0119c nadal wypisana w pe\u0142ni, otoczona zmiennymi o nazwach a<\/code>, t<\/code> i e<\/code>.<\/p>\n# pobrac kopie i sformatowac\ncurl -s https:\/\/cdn.anbieter.example\/widget.js -o widget.min.js\nnpx js-beautify widget.min.js -o widget.js\n\n# rozmiar przed i po mowi, jak mocno bylo zageszczone\nwc -c widget.min.js widget.js<\/code><\/pre>\nSze\u015b\u0107 rzeczy wartych wyszukania<\/h2>\n
# 1 czy cos wysyla na zewnatrz?\ngrep -nE 'fetch\\(|XMLHttpRequest|sendBeacon|new Image|WebSocket' widget.js\n\n# 2 czy cos zapisuje trwale?\ngrep -nE 'localStorage|sessionStorage|document\\.cookie|indexedDB' widget.js\n\n# 3 czy doladowuje dalszy kod?\ngrep -nE \"createElement\\(['\\\"]script|\\\\.src\\\\s*=|import\\\\(\" widget.js\n\n# 4 czy podsluchuje wpisywanie?\ngrep -nE \"addEventListener\\\\(['\\\"](input|keydown|keyup|change|submit)\" widget.js\n\n# 5 czy zbiera cechy urzadzenia?\ngrep -nE 'getContext|AudioContext|navigator\\.(plugins|hardwareConcurrency)|RTCPeerConnection' widget.js\n\n# 6 dokad to idzie?\ngrep -oE 'https?:\/\/[a-z0-9.-]+' widget.js | sort -u<\/code><\/pre>\ninput<\/code> nie jest automatycznie rejestrowaniem klawiszy – okienko czatu s\u0142usznie s\u0142ucha w\u0142asnego pola – lecz sprawdzeniem jest to, do kt\u00f3rego elementu zosta\u0142 przypi\u0119ty, a to stoi kilka linii ni\u017cej.<\/p>\nOdr\u00f3\u017cnienie zminifikowanego od zaciemnionego<\/h2>\n
String.fromCharCode<\/code> w p\u0119tli, atob<\/code> wok\u00f3\u0142 czego\u015b, co nie jest obrazem, a przede wszystkim eval<\/code> albo new Function<\/code> na z\u0142o\u017conym ci\u0105gu znak\u00f3w.<\/p>\ngrep -nE 'eval\\(|new Function\\(|atob\\(|String\\.fromCharCode|\\\\\\\\x[0-9a-f]{2}' widget.js<\/code><\/pre>\nWyci\u0105gni\u0119cie listy host\u00f3w<\/h2>\n
grep -oE 'https?:\/\/[a-z0-9.-]+' widget.js | sort -u\n\nhttps:\/\/cdn.anbieter.example\nhttps:\/\/api.anbieter.example\nhttps:\/\/events.anbieter.example\nhttps:\/\/fonts.gstatic.com<\/code><\/pre>\nfetch<\/code> jest celem. Sprawdzenie, kt\u00f3ry jest kt\u00f3ry, kosztuje po jednym dodatkowym przeszukaniu na host i jest r\u00f3\u017cnic\u0105 mi\u0119dzy polityk\u0105 dzia\u0142aj\u0105c\u0105 a przepisan\u0105 z wpisu na blogu.<\/p>\nContent-Security-Policy:\n script-src 'self' https:\/\/cdn.anbieter.example;\n connect-src 'self' https:\/\/api.anbieter.example https:\/\/events.anbieter.example;\n font-src 'self' https:\/\/fonts.gstatic.com;<\/code><\/pre>\nPrzypi\u0119cie i miejsce, w kt\u00f3rym zawodzi<\/h2>\n
<script src=\"https:\/\/cdn.anbieter.example\/widget.js\"\n integrity=\"sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K\/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC\"\n crossorigin=\"anonymous\"><\/script><\/code><\/pre>\nCo pokazuje dopiero obserwacja<\/h2>\n
script-src<\/code> bez symbolu wieloznacznego czyni to widocznym, bo drugi plik potrzebuje w\u0142asnego wpisu.<\/p>\ncurl -s https:\/\/cdn.anbieter.example\/widget.js | sha256sum\n# porownac z zapisana wartoscia, co tydzien<\/code><\/pre>\nPytania i odpowiedzi<\/h2>\n
Czy Subresource Integrity chroni tak\u017ce skrypt, kt\u00f3ry \u0142adowacz do\u0142adowuje w czasie dzia\u0142ania?<\/h3>\n
Do czego s\u0142u\u017cy atrybut crossorigin w znaczniku skryptu z sum\u0105 kontroln\u0105?<\/h3>\n
crossorigin=\"anonymous\"<\/code> w\u0142\u0105cza ten tryb i nie wysy\u0142a przy tym ciasteczek. Warunkiem jest to, \u017ce dostawca serwuje plik z pasuj\u0105cym nag\u0142\u00f3wkiem Access-Control-Allow-Origin; je\u015bli go brakuje, skrypt nie wczytuje si\u0119 mimo poprawnej sumy kontrolnej.<\/p>\nCo nale\u017cy zrobi\u0107, gdy cotygodniowe por\u00f3wnanie sumy kontrolnej wyka\u017ce r\u00f3\u017cnic\u0119?<\/h3>\n
\n
sendBeacon<\/code> albo dost\u0119p do document.cookie<\/code>, jest ustaleniem, o kt\u00f3re chodzi.<\/li>\n