Với Same-Origin Policy (viết tắt là SOP, tạm dịch là Chính sách cùng xuất xứ), bạn có thể thoải mái duyệt các trang web nhạy cảm mà không cần chia sẻ dữ liệu của mình với trang khác.

Tuy nhiên, khái niệm chính sách cùng xuất xứ vẫn khó hiểu đối với nhiều người dùng internet. Bài viết này sẽ giúp bạn hiểu rõ hơn về cách nó hoạt động và tại sao nó lại quan trọng.

Chính sách cùng xuất xứ (SOP) là gì?

Chính sách cùng xuất xứ là một cơ chế bảo mật của trình duyệt, theo đó trình duyệt web hạn chế tập lệnh và dữ liệu của trang web khác truy cập vào dữ liệu và thông tin của chúng. Tuy nhiên, nó cho phép các tập lệnh và dữ liệu của trang web tương quan với nó.

Trong chính sách cùng xuất xứ, các trình duyệt ngăn không cho nội dung có xuất xứ khác nhau (trang web) can thiệp vào nội dung của chúng. Các quy tắc của chính sách cùng xuất xứ nêu rõ rằng tất cả các tài nguyên được tải bởi một trình duyệt phải có cùng một giao thức, URL và cổng được sử dụng để truy cập tài nguyên.

Ví dụ

Giả sử bạn truy cập trang web myexample.com và sau đó truy cập example.com. Chính sách cùng xuất xứ là thứ ngăn cản JavaScript của myexample.com truy cập thông tin trên example.com.

Giao thức là “http”, miền là myexample.com hoặc example.com và số cổng “80.” Theo mặc định, mọi trang web thường có cùng một cổng, đó là “80.”

Nếu không có chính sách cùng xuất xứ, sau khi đăng nhập vào myexample.com, một lệnh gọi JavaScript đơn giản, được tải trong iframe của nó, có thể được sử dụng để nhập các phần tử DOM (Mô hình đối tượng tài liệu) của example.com. Điều này sẽ dẫn đến việc lộ dữ liệu nhạy cảm với những hậu quả gây hại.

Điều quan trọng cần lưu ý là chính sách cùng xuất xứ chỉ liên quan đến các tập lệnh. Các tài nguyên như CSS, hình ảnh và các tập lệnh được tải linh hoạt có thể được cung cấp từ các nguồn khác nhau bằng cách sử dụng các thẻ HTML thích hợp với phông chữ là một ngoại lệ đáng chú ý.

Do đó, bất kỳ cuộc tấn công nào được thực hiện trên các mã không phải là tập lệnh đều có hiệu quả bởi vì những kẻ tấn công khai thác thực tế là các thẻ HTML không tuân theo chính sách cùng xuất xứ. Đây chắc chắn là một trong những thiếu sót của nó.

Một thiếu sót khác là các giới hạn lặp lại được đặt trên số lượng các hoạt động phức tạp trong các ứng dụng web hiện đại.

Mặc dù chính sách cùng xuất xứ mang lại hiệu quả bảo mật, nhưng trong hầu hết các trường hợp, nó ảnh hưởng đến nhiều tên miền phụ hoặc tên miền của cùng một tổ chức. 

Tại sao Chính sách cùng xuất xứ (SOP) lại quan trọng?

Chính sách cùng xuất xứ không chỉ đơn thuần tạo ra các quy tắc giữa các trang web hoặc xuất xứ; nó có liên quan đến các cuộc tấn công mạng. Nó cung cấp một số lợi ích bảo mật cho người dùng trực tuyến trong việc bảo mật thông tin của họ.

Dưới đây là một số lợi ích của chính sách cùng xuất xứ.

1. Ngăn chặn các cuộc tấn công độc hại

Chính sách xuất xứ giúp loại bỏ các vectơ tấn công độc hại tiềm ẩn trên một trang web, đặc biệt là trên các trang web chứa hoặc lưu trữ dữ liệu người dùng nhạy cảm. Nó thực hiện điều này bằng cách tiến hành các cuộc tấn công tiềm năng được nhận biết ngay trước khi chúng leo thang.

Triển khai chính sách cùng xuất xứ trên trang web hoặc trình duyệt sẽ giúp giảm đáng kể các cuộc tấn công độc hại.

2. Hạn chế tương tác

Chính sách cùng xuất xứ giúp hạn chế cách một tập lệnh từ một trang web tương tác với tập lệnh của một trang web khác.

Khi dữ liệu được chia sẻ bị hạn chế, tất cả các tài nguyên từ một xuất xứ đều được bảo vệ. Một ví dụ đã giới thiệu ở trên là myexample.com lấy tập lệnh (script) của example.com.

3. Ngăn chặn truy cập đọc trái phép

Chính sách cùng xuất xứ giúp bảo vệ các trang web sử dụng phiên xác thực. Điều này có thể được nhìn thấy trong các trang web sử dụng chức năng “remember me” (ghi nhớ tôi).

Chính sách hoạt động bằng cách giữ thông tin đặc quyền an toàn. Nó ngăn chặn truy cập đọc trái phép từ nguồn này sang nguồn khác.

Bảo mật dữ liệu với chính sách cùng xuất xứ

Chính sách cùng xuất xứ là một cấu trúc trung tâm của nhiều quy trình bảo mật web, bao gồm truy cập DOM, JavaScript, cookie, v.v.

Có nhiều cách triển khai chính sách cùng xuất xứ cho các loại nội dung web khác nhau. Tương tự, có các định nghĩa khác nhau về cách áp dụng chính sách xuất xứ cho cookie, JavaScript và truy cập DOM trên các trình duyệt.

Hãy thận trọng hơn khi thiết lập trang web của bạn để cung cấp bảo mật tốt hơn và nâng cao trải nghiệm người dùng với chính sách cùng xuất xứ.

Vân Nguyễn

Dịch từ: https://www.makeuseof.com/same-origin-policy-sop-explained/