Análisis basado en semántica de la implementación de políticas de seguridad de contenido

La Política de Seguridad de Contenido (CSP) es un estándar reciente del W3C introducido para prevenir y mitigar el impacto de las vulnerabilidades de inyección de contenido en los sitios web. En este artículo, introducimos una semántica formal para la última versión estable del estándar, CSP Nivel 2. Luego, realizamos un análisis sistemático y a gran escala de la efectividad de la implementación actual de CSP, utilizando la semántica formal para fundamentar nuestra metodología y evaluar el impacto de los problemas detectados. Nos enfocamos en cuatro aspectos clave que afectan la efectividad de CSP: soporte del navegador, adopción por parte de los sitios web, configuración correcta y mantenimiento constante. Nuestro análisis muestra que el soporte del navegador para CSP es en gran medida satisfactorio, con la excepción de algunos problemas notables. Sin embargo, hay varias deficiencias en relación con los otros tres aspectos. CSP parece tener una implementación bastante limitada hasta ahora y, lo que es más crucial, las políticas existentes exhiben una serie de debilidades y errores de configuración. Además, las políticas de seguridad de contenido no se actualizan regularmente para prohibir prácticas inseguras y eliminar violaciones de seguridad no intencionadas. Argumentamos que muchos de estos problemas pueden solucionarse al aprovechar mejor las facilidades de monitoreo de CSP, mientras que otros problemas merecen investigación adicional, estando más arraigados en el diseño de CSP.