Firefox Security Features

Security FeaturesSlides @ Mozilla Workshop @ Tokyo 6th by Tomoya ASAI (dynamis) last update on 2011.10.01 see also: http://dynamis.jp/r

Tomoya ASAI (dynamis) Mozilla Japan - Technical mktg. http://dynamis.jp/ http://facebook.com/dynamis http://twitter.com/dynamitter dynamis@mozilla-japan.orgdynamis ( dunamis)

Agenda about:Mozilla Content Security Policy Security Privacy latest topic

Facebook Twitter

about:mozilla.com brain .org heart

http://www.ﬂickr.com/photos/intothefuzz/5577427601/

: http://www.mozilla.org/about/manifesto.ja.html

CSPContent Security Policy

https://developer.mozilla.org/ja/Introducing_Content_Security_Policy

<style> body { font-size: 200%; } </style><p style="font-size: 200%;">I love lesser panda!</p><script> alert("inline script"); </script><p onclick="alert(inline script)">Red panda!</p><link rel="stylesheet" href="external.css"/><script src="external.js"></script> https://developer.mozilla.org/en/Security/CSP/Using_Content_Security_Policy

/* これらを実行するとエラー(それ以降のコードも無視) */eval("alert(☺)");// call to eval("alert(☺)") blocked by CSPnew Function("alert(☺)");// call to Function() blocked by CSPsetTimeout("alert(☺)", 0);setInterval("alert(☺)", 0);// call to setTimeout/setInterval blocked by CSP<img id="dataimg" src="data:image/png;base64,AAAB ..."/>

// httpd.conf, .htaccess の Header ディレクティブを使うHeader always append X-Content-Security-Policy "default-src self"// ポリシーファイルを使用する場合 AddType も忘れずにAddType "text/x-content-security-policy" .cspHeader always append X-Content-Security-Policy "policy-uri /csp/policy.csp"

// 全コンテンツを同一ドメインのみ (サブドメインも不可)X-Content-Security-Policy: default-src self// 自身と dynamis.jp のサブドメインのみ許可X-Content-Security-Policy: default-src self *.dynamis.jp// secure.mozilla.jp からの読み込みは HTTPS のみX-Content-Security-Policy: default-src https://secure.mozilla.jp/ https://developer.mozilla.org/en/Security/CSP/Using_Content_Security_Policy

// 画像は任意サイト、メディアファイルと JS は指定サイトに限定X-Content-Security-Policy: default-src self; img-src *; (実際は改行なし) media-src video.tld audio.tld; (実際は改行なし) script-src script.tld;// 自身と *.mail.jp は全許可、他サイトは画像のみに制限// スクリプトなど指定していないものは default-src と同じX-Content-Security-Policy: defaut-src self *.mail.jp; (実際は改行なし) img-src * https://developer.mozilla.org/en/Security/CSP/Using_Content_Security_Policy

// ブラウザから違反レポートを受け取る URL を指定する// JSON 形式のレポートが届くのでサーバで処理するX-Content-Security-Policy: report-uri /csp/report// 違反レポートは送るが実行は実際にブロックしない場合// 既存サイトに必要なポリシーを調べるときに便利X-Content-Security-Policy-Report-Only: report-uri /csp/report https://developer.mozilla.org/en/Security/CSP/Using_Content_Security_Policy

https://github.com/bsterne/bsterne-tools/tree/master/csp-bookmarklet

Securitymore Secure Web...

http://hacks.mozilla.org/2010/08/ﬁrefox-4-http-strict-transport-security-force-https/

// 86400 秒はこのサイトに HTTP での接続を禁止Strict-Transport-Security: max-age=86400// 送信元サイトのサブドメインも HTTP 接続を禁止するStrict-Transport-Security: max-age=86400; includeSubdomains http://code.google.com/intl/ja/apis/webfonts/docs/getting_started.html

// Apache の設定でサイト全体に設定する場合: Header always append X-Frame-Options SAMEORIGINFx 3.6.9 https://developer.mozilla.org/en/The_X-FRAME-OPTIONS_response_header

http://blog.guya.net/2008/10/07/malicious-camera-spying-using-clickjacking/

// dynamis.jp のページからはこのサイトの読み込み許可Access-Control-Allow-Origin: http://dynamis.jp// 任意サイトからの読み込みを許可 (公開 API などに)Access-Control-Allow-Origin: * https://developer.mozilla.org/en/http_access_control

Privacymore Comfortable Web...

https://developer.mozilla.org/en/The_Do_Not_Track_Field_Guide

latest topichow about Amazon Silk?

http://amazonsilk.wordpress.com/2011/09/28/introducing-amazon-silk/

Amazon Silk FAQ : http://t.co/encBio73

Any Question ?

http://d.hatena.ne.jp	217
http://d.hatena.ne.jp	217
http://us-w1.rockmelt.com	12
http://paper.li	12
http://a0.twimg.com	11
https://twitter.com	9
http://webcache.googleusercontent.com	2

Firefox Security Features

by dynamis . on Oct 01, 2011

Accessibility

Categories

Upload Details

Usage Rights

7 Embeds 480

Statistics

Firefox Security Features Presentation Transcript