Google выпускает новые инструменты для предотвращения XSS-атак

Google выпускает новые инструменты для предотвращения XSS-атак

Google выпускает новые инструменты для предотвращения XSS-атак

Google выпустили новые инструменты и документацию к ним, чтобы помочь разработчикам снизить риск атак XSS с помощью стандарта Content Security Policy (CSP).

XSS-уязвимости продолжают затрагивать многие веб-приложения, даже те, которые разработаны крупными компаниями. За последние два года Google выплатила экспертам 1,2 млн. долларов за обнаружение этих уязвимостей.

Одним из эффективных способов снижения риска XSS является CSP – механизм, позволяющий разработчикам ограничить выполнение определенных сценариев. Если политики настроены должным образом, злоумышленники не смогут загружать вредоносные скрипты, даже если им удастся внедрить HTML код в веб-страницу.

Однако CSP не способен полностью исключить риск XSS, даже если все настроено должным образом. Исследование, проведенное недавно экспертами Google, более чем на 1 млрд. доменов, показали, что политики CSP можно обойти в подавляющем большинстве случаев.

Google хочет помочь разработчикам, для этого они выпустили инструмент CSP Evaluator. Он помогает определить, насколько правильно сконфигурированы политики CSP. CSP Evaluator также существует в виде расширения для Chrome.

Несмотря на то, что такой инструмент может быть очень полезным, Google отметили, что на данный момент сложно создать белый список безопасных скриптов для сложных приложений.

Google сами использовали такой подход в некоторых своих приложениях, например: Cloud Console, History, Photos, Maps Timeline, Careers Search и Cultural Institute. Компания также выпустили другое расширение для Chrome - CSP Mitigator. Также доступна документация с описанием наиболее эффективных стратегий для реализации CSP. 

Кроме того, Google привлекли экспертов по вопросам безопасности над дальнейшими исследованиями в области защиты от XSS-атак.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минцифры предлагает предоставлять отсрочки ИТ-специалистам без дипломов

Минцифры предложило расширить перечень ИТ-специалистов, имеющих право на отсрочку от призыва в армию. Нововведения касаются тех, кто окончил обучение, но на момент формирования списков ещё не получил диплом о высшем образовании.

Соответствующий проект опубликован на Портале проектов нормативных актов. К уже действующим критериям планируется добавить два новых:

  • Право на отсрочку получат сотрудники аккредитованных ИТ-компаний, завершившие обучение, но не имеющие диплома на момент формирования списков Минцифры (например, если выпуск состоялся в январе, а диплом будет выдан в феврале). В этом случае документ необходимо будет предоставить в призывную комиссию отдельно;
  • В перечень ИТ-специальностей для получения отсрочки предложено включить дополнительные направления: магистратуру по специальностям «Радиофизика» и «Статистика», бакалавриат по направлению «Ядерная физика и технологии» и ряд других.

«Изменения помогут молодым специалистам без перерыва строить карьеру в ИТ, а также позволят сохранить квалифицированные кадры в отрасли. При этом новые правила не создадут дополнительной нагрузки для бизнеса», — отметили в Минцифры.

Если поправки будут приняты, они вступят в силу с 2026 года и не затронут осенний призыв 2025 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru