HTML5 Security Cheatsheet contro gli attacchi XSS

H5SC è il nome di un progetto promosso da Cure53 sulla piattaforma per l'hosting e la condivisione delle risorse per sviluppatori GitHub; esso ha l'obiettivo di mettere a disposizione un HTML5 Security Cheatsheet liberamente accessibile attraverso il quale trovare riferimenti per incrementare il livello di sicurezza generale della proprie Web applications.

Nello specifico H5SC fornisce una raccolta di vettori per attacchi di tipo XSS (Cross-site scripting) correlati ad HTML5, un set di file utili per i test mirati a prevenire XSS e una serie di funzionalità precedentemente non reperibili adottabili per l'XSS testing. Anche grazie al miglior supporto dei browser, le applicazioni basate sugli standards Web più recenti diventano sempre più complesse, ciò impone un'attenzione costante riguardo agli aspetti inerenti la sicurezza.

Quanto esposto diventa ancora più importante nella gestione dei parametri di input e delle componenti destinate alla loro definizione, al loro invio, alla loro ricezione e alle eventuali procedure per la memorizzazione dei dati raccolti. Lo sviluppatore dovrà quindi controllare qualsiasi vettore sia in grado di trasformarsi in un veicolo per l'hijacking dei moduli per il feedback, l'injection di attributi, l'esecuzione arbitraria degli script la sovrascrittura degli user input.

In tal senso diventano preziose alcune regole come per esempio limitare l'invio da parte degli utenti di markup contenente elementi specifici correlati all'utilizzo dei form, verificare la correttezza dei MIME-type, gestire in modo appropriato gli event handlers, tenere traccia delle eventuali carenze dei diversi browser nel supporto a determinati elementi o costrutti, evitare errori che potrebbero portare alla perdita di informazioni e prevedere la gestione delle sequenze di carattere da parte dei programmi per la navigazione.

Attualmente HTML5 Security Cheatsheet presenta tre features "nascoste": una modalità RSS per il test dei feed readers, una funzione JavaScript per la restituzione dei vettori come stringhe e un'API per la ricerca tramite metodo GET.

Via H5SC