On the way to master CSP in Magento2

Grundrauschen herausfiltern

Zunächst musst du den Report-Modus in Magento aktivieren. Dadurch erhältst du als Entwickler oder jeder, der die Entwicklerkonsole öffnet, einen Überblick darüber, was nicht konfiguriert ist. Dabei fällt auf, dass viele unsafe-inline-Hinweise auftreten. Laut der Dokumentation kannst du die einzelnen Skripte hashen oder einen Nonce verwenden – letzterer wird am besten über Magentos $secureRenderer automatisch hinzugefügt. Aber jedes Skript zu hashen? Das ist aufwendig und problematisch, da dynamische Inhalte aus PHP im Skript eingearbeitet sein können. Eine Änderung durch einen Redakteur kann den Check brechen, was einen neuen Deployment-Vorgang erforderlich macht.

Also probieren wir es anders. Lassen wir Magento alle Nonce-Settings übernehmen, was grundsätzlich funktioniert. Allerdings steht dies im Widerspruch zum Ansatz eines Full-Page-Caches in Magento, da der Nonce pro Anfrage neu erstellt werden sollte, aber im FPC gespeichert wird. Damit bleibt uns in einem ersten Schritt nur, unsafe-inline in einer csp_whitelist.xml-Datei zu erlauben (für Skript- und Style-Tags):

Nicht optimal, aber ein Schritt in die richtige Richtung für eine solide Basis.

Handling von unsafe-inline, Hashes und Nonces im FPC-Kontext

Darf's ein bisschen weniger sein?

Magento wurde für mehrere Shops entwickelt, und jeder Shop hat individuelle Anforderungen. Daher ist es sicherheitstechnisch wünschenswert, so wenige Skripte wie möglich zuzulassen, um potenzielle Sicherheitslücken zu minimieren. 

Der eine Shop ist eine hippe Jugendmarke und bindet die krassesten Social Media Plattformen ein, der andere gerade so mal die gute alte gediegene Craigslist? Aus Sicherheitssicht ist es wünschenswert, so wenige Skripte zu erlauben wie möglich, um potenzielle Injections (siehe einen Breach bei polyfill.io 2024) zu reduzieren. Magento bietet verschiedene Konfigurationsmöglichkeiten über csp_whitelist.xml hinaus:

Konfigurationsmöglichkeiten abseits der csp_whitelist.xml

Jedes Modul kann einen neuen PolicyCollector über das di.xml contributen und neue FetchPolicies zur Verfügung stellen, auch Magento stellt mehr als nur die XMLs zur Verfügung:

Eigenen PolicyCollector erstellen

Hier ein kleines Beispiel um zu zeigen wie einfach ein entsprechender PolicyCollector erstellt werden kann, welcher auf Konfigurationswerte horcht und meine Einstellungen hinzufügt, oder eben auch nicht:

class ModuleCspCollector implements PolicyCollectorInterface

{
   public function __construct(
       private DataHelper $dataHelper
   ) {
   }

   public function collect(array $defaultPolicies = []): array
   {
       $policies = $defaultPolicies;
       if(!$this->dataHelper->isActive()) {
           return $policies;
       }
       $policies[] = new FetchPolicy(
           'script-src',
           false,
           ['https://module.csp-script.com']
       );
       return $policies;
   }
}
<type name="Magento\Csp\Model\CompositePolicyCollector">
   <arguments>
       <argument name="collectors" xsi:type="array">
           <item name="my-module" xsi:type="object" sortOrder="99">ModuleCspCollector \Proxy</item>
       </argument>
   </arguments>
</type>

Ein weiterer Einsatz wäre eine Erweiterung der csp_whitelist.xml um Scope-Daten um eine granulare Einstellung pro Website/Store/StoreView zu gestalten. Hierzu kann man das Github Modul https://github.com/brosenberger/module-scoped-csp verwenden:

<?xml version="1.0" encoding="UTF-8"?>
<csp_whitelist xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
        xsi:noNamespaceSchemaLocation="urn:magento:module:BroCode_ScopedCsp:etc/scoped_csp_whitelist.xsd">
        <policies>
            <policy id="img-src">
                <values>
                    <value id="data-brocode" scopeType="website" scopeCode="base" type="host">https://brocode.at</value>
                    <value id="data-other-brocode" scopeType="website" scopeCode="otherbase" type="host">https://other.brocode.at</value>
                </values>
            </policy>
        </policies>
</csp_whitelist>