Trusted Types API と Vue.js

このLTでは、Webセキュリティの新しい標準であるTrusted Types APIと、Vue.jsのサポート状況についての紹介をします。もっとも一般的なセキュリティ脆弱性であるXSSを防ぐためにはセキュアなコーディングを意識する必要があり、特にTrusted Types APIはDOMベースXSSに対する強力なツールです。AngularやLitでは既にサポートされているTrusted Types APIですが、現在のVue.jsの対応状況などについて紹介していきます。

Transcript

1. ˜
   -:
   $PSQPSBUJPO
   5SVTUFE
   5ZQFT
   "1*ͱ
   7VFKT େڮҰਅ
   
   ,B[VNB
   0IBTIJ -*/&Ϡϑʔגࣜձࣾ
   %1
   'SPOUFOE
   %FWνʔϜ
2. *OUFSOBM
   6TF
   0OMZ ˜
   -:
   $PSQPSBUJPO
    ։ൃऀ͕ͱΕΔߦಈͱظ଴  7VFKTͰͷରԠঢ়گ  %0.ϕʔε944ͱ5SVTUFE
   5ZQFT
   "1*  "HFOEB  ࣗݾ঺հ  ·ͱΊ
3.  ,B[VNB
   0IBTIJ  -*/&גࣜձࣾ ݱ-*/&Ϡϑʔגࣜձࣾ
   த్ೖࣾ -*''
   4%,΍-*/&
   -PHJOͷ8FCϑϩϯτΤϯυΛ ։ൃ͍ͯ͠·͢
4. ˜
   -:
   $PSQPSBUJPO
    %0.ϕʔε944ͱ
   5SVTUFE
   5ZQFT
   "1*
5. ˜
   -:
   $PSQPSBUJPO
    %0.ϕʔε944ͷಛੑ w Ұൠతͳ944ͱ͸ҧ͍ɺΫϥΠΞϯτ+4ͷϨϯμϦϯάʹΑͬͯ%0.πϦʔߏ଄΁ಈతʹհೖ ͠ɺѱҙͷ͋ΔίʔυΛຒΊࠐΉ͜ͱͰൃੜ͢Δ
   w αʔόʔαΠυͰͷΤεέʔϓ΍αχλΠζ͕ޮՌΛൃشͤͣɺΫϥΠΞϯτͷ+4Ͱରࡦ͕ ඞཁ
6. ˜
   -:
   $PSQPSBUJPO
    5SVTUFE
   5ZQFT
   "1*ͷ֓ཁ w ϒϥ΢βϨϕϧͰ944߈ܸΛ๷͙ͨΊͷ৽͍͠8FCඪ४"1*
   w ৴པͰ͖ͳ͍จࣈྻ͕௚઀%0.ૢ࡞ʹ࢖ΘΕΔͷΛ๷͗ɺ։ൃऀ͕ΑΓηΩϡΞͳίʔυΛॻ ͘͜ͱΛࢧԉ͢Δ
7. ˜
   -:
   $PSQPSBUJPO
    5SVTUFE
   5ZQFT
   "1*ͷΠϯύΫτ w (PPHMFͰ͸5SVTUFE
   5ZQFT
   "1*ΛطଘͷΞ ϓϦέʔγϣϯʹಋೖޙɺ%0.ϕʔε944ͷ ใࠂ͕݅ʹͳͬͨͱ͍͏ Ҿ༻
   +4$POG
   +1
   l53645&%
   5:1&4
   %0.
   944
   1305&$*50/
   "5
   4$"-&z
   IUUQTKTDPOGKQUBMLLJBOKBNBMJ
8. ˜
   -:
   $PSQPSBUJPO
    7VFKTͰͷରԠঢ়گ
9. ˜
   -:
   $PSQPSBUJPO
    ίϛϡχςΟͷಈ͖ᶃ w 
   3'$͕ఏग़͞ΕΔ
   Ҿ༻
   (JU)VC
   
   WVFKTSGDT
   l<3'$>
   *OUFHSBUF
   5SVTUFE
   5ZQFT
   "1*
   z
   IUUQTHJUIVCDPNWVFKTSGDTEJTDVTTJPOT
10. ˜
    -:
    $PSQPSBUJPO
     ίϛϡχςΟͷಈ͖ᶄ w 
    13͕࡞੒͞ΕΔ Ҿ༻
    (JU)VC
    
    WVFKTDPSF
    lGFBU SVOUJNFEPN 
    USVTUFE
    UZQFT
    DPNQBUJCJMJUZ
    z
    
    IUUQTHJUIVCDPNWVFKTDPSFQVMM
11. ˜
    -:
    $PSQPSBUJPO
     1VMM
    3FRVFTUͷ಺༰ w 5SVTUFE
    5ZQFT
    "1*ͷαϙʔτ
    w 5SVTUFE
    5ZQFTϙϦγʔ
    bWVF`
    Λ࡞੒ɾద༻
    w JOTFSU4UBUJD$POUFOUؔ਺ͰϙϦγʔΛద༻
    w JOOFS)5.-ͷ௚઀࢖༻Λ࡟ݮ͠ɺ಺෦ʹ͓͚ΔϙϦγʔҧ൓Λղফ
12. ˜
    -:
    $PSQPSBUJPO
     ίϛϡχςΟͷಈ͖ᶅ w 
    WϦϦʔεʹΑͬͯ 5SVTUFE
    5ZQFT
    "1*Λαϙʔτ
    w IUUQTHJUIVCDPNWVFKTDPSF CMPCNBJO $)"/(&-0(NE  Ҿ༻
    (JU)VC
    
    WVFKTDPSF
    l$)"/(&-0(z
    IUUQTHJUIVCDPNWVFKTDPSFCMPCNBJO$)"/(&-0(NE
    
13. ˜
    -:
    $PSQPSBUJPO
     7VFKT
    WͰ࣮ݱͨ͜͠ͱ w 5SVTUFE
    5ZQFT
    "1*Λ༗ޮԽͨ͠؀ڥͰ΋7VFKTΞϓϦέʔγϣϯ͕ಈ࡞͢ΔΑ͏ʹͳͬͨ
    w 5SVTUFE
    5ZQFTͷΧελϜϙϦγʔΛ࡞੒ɺద༻Ͱ͖ΔΑ͏ʹͳͬͨ
14. ˜
    -:
    $PSQPSBUJPO
     7VFKT
    WҎલͱWͷൺֱ WҎલ  ಺෦࣮૷  5SVTUFE
    5ZQFT
    "1*ඇରԠ
     ಺෦ͰJOOFS)5.-΁௚઀ςΩετΛηοτͯ͠ ͍Δ  5SVTUFE
    5ZQFT
    "1*ͷαϙʔτ
     JOOFS)5.-ͷ௚઀࢖༻Λ࡟ݮ͠ɺ಺෦ʹ͓͚Δ ϙϦγʔҧ൓Λղফ
     5SVTUFE
    5ZQFTϙϦγʔ`WVFΛ࡞੒ɾద༻
     JOTFSU4UBUJD$POUFOUؔ਺ͰϙϦγʔΛద༻ ։ൃऀ໨ઢ  $41Ͱͷ5SVTUFE
    5ZQFT༗ޮԽ࣌ϥϯλΠϜΤϥʔ
     ಺෦࣮૷ͰJOOFS)5.-Λ௚઀ૢ࡞͍ͯ͠ΔͨΊ ༗ޮԽͰ͖ͳ͍
     WIUNMʹ5SVTUFE
    5ZQFTΛద༻ෆՄ
     5SVTUFE
    5ZQFTະରԠͷͨΊɺWIUNM΁౉͢஋ ʹϙϦγʔద༻͕Ͱ͖ͳ͍  $41Ͱ༗ޮԽՄೳ
     ಺෦Ͱ࢖༻͞ΕΔ
    bWVF`
    ϙϦγʔΛ༗ޮԽ͢Δ͜ ͱͰ5SVTUFE
    5ZQFTΛ࢖༻Ͱ͖Δ
     WIUNMʹ5SVTUFE
    5ZQFTΛద༻Մೳ
     ։ൃऀ͕ࣗ༝ʹΧελϜϙϦγʔΛ࡞੒ɾద༻Ͱ ͖Δ
15. ˜
    -:
    $PSQPSBUJPO
     5SVTUFE
    5ZQFT
    "1*Λ࢖͏ʹ͸ JOEFYIUNM "QQWVF
16. ˜
    -:
    $PSQPSBUJPO
     5SVTUFE
    5ZQFT
    "1*Λ࢖͏ʹ͸ JOEFYIUNM "QQWVF bWVF`
    ϙϦγʔͷ࢖༻͸ඞਢ ΧελϜϙϦγʔ
    bNZQPMJDZ`
    ΋ಉ࣌ʹ࢖༻Λࢦࣔ ΧελϜϙϦγʔ
    bNZQPMJDZ`
    Λ࡞੒ bNZQPMJDZ`
    ʹ४ڌͨ͠ίϯςϯπΛ
    WIUNMʹ࢖༻
17. ˜
    -:
    $PSQPSBUJPO
     ஫ҙ఺ w ͋͘·Ͱ΋5SVTUFE
    5ZQFT
    "1*Λ࢖༻Ͱ͖Δ؀ڥ͕੔ͬͨͷΈ
    w 5SVTUFE
    5ZQFT
    "1*ͷԸܙΛड͚Δʹ͸ɺ։ൃऀଆͰϙϦγʔΛ࡞੒͢Δ͜ͱ͕େલఏ
    w αʔυύʔςΟϥΠϒϥϦͷαϙʔτ
    w ϒϥ΢βͷαϙʔτʢ ݱࡏͰ׬શαϙʔτ͍ͯ͠Δͷ͸$ISPNFͱ&EHFͷΈʣ
18. ˜
    -:
    $PSQPSBUJPO
     ։ൃऀ͕ͱΕΔߦಈͱظ଴
19. ˜
    -:
    $PSQPSBUJPO
     զʑ։ൃऀ͕Ͱ͖Δ͜ͱ w 7VFKT
    WҎ߱Λ࢖༻
    w A$POUFOU4FDVSJUZ1PMJDZ3FQPSU0OMZA
    Ͱ
    5SVTUFE
    5ZQFT
    "1*
    Λ༗ޮԽ
    w 5SVTUFE
    5ZQFT
    "1*ʹରԠ͢ΔϥΠϒϥϦΛ࢖༻
    w %0.1VSJGZ
    WҎ߱
    IUUQTHJUIVCDPNDVSF%0.1VSJGZSFMFBTFTUBH
    
20. ˜
    -:
    $PSQPSBUJPO
     ࠓޙͷظ଴ w ͞ΒͳΔαϙʔτڧԽ
    w 7VFKT಺෦ϙϦγʔͷڧԽ΍ΧελϚΠζ
    w ίϛϡχςΟͷڠྗͱߩݙ
    w 5SVTUFE
    5ZQFT
    "1*ͷ৘ใ͕গͳ͍ͨΊɺϕετϓϥΫςΟε΍࣮૷ྫΛڍ͛Δͱ࣭ͷߴ͍ ϑΟʔυόοΫʹܨ͕Δ
21. ˜
    -:
    $PSQPSBUJPO
     ·ͱΊ
22. ˜
    -:
    $PSQPSBUJPO
     ·ͱΊ w 7VFKT
    WҎ߱ͷΞϓϦέʔγϣϯͰ5SVTUFE
    5ZQFT
    "1*Λ༗ޮԽͰ͖ΔΑ͏ʹͳͬͨ
    w ॳาతͳαϙʔτ͔ͭϝδϟʔϒϥ΢βͷαϙʔτ͕ෆे෼ͷͨΊɺࠓޙͷಈ޲ʹ஫໨͢Δඞཁ ͕͋Δ
    w ஈ֊తͳಋೖ΋ࢹ໺ʹ༗ޮԽ͢ΔͱࣄނΛճආՄೳ
23. ˜
    -:
    $PSQPSBUJPO
    ˜
    -:
    $PSQPSBUJPO
    5IBOL
    :PV