0

消费者网站（例如 nytimes.com）是否有办法确保其加载的 iframe 无法与服务器通信，并且只能访问 postMessage？这可以从托管 iframe 文档的服务器完成。但我不想相信那台服务器。

这就是我需要的：我想使用微妙加密存储不可提取的非对称密钥，使用由第三方审核的内联 JS 加载一些静态 HTML，我确信这是使用 SRI 加载的内容，最后通过一些数据使用 postMessage 到它，并通过覆盖 postMessag 关闭该 sanbox 中的门，以向用户代理的用户保证从该点解密和显示的任何数据都不会泄露给其他任何人（假设用户代理遵循网络标准）。

用户如何知道他们可以信任 iframe？因为 iframe 会在门关闭后显示他们选择的一些熟悉的字符串，由相同的私钥解密。由于它不可提取，因此没有服务器可以解密它，因此它必须是用户信任的经过审核的安全 HTML + JS 环境。

但是用户和嵌入站点如何验证并确定 iframe 的内容安全策略是什么？

4

1 回答 1

1

好的，事实证明 HTML 具有“http-equiv”元标记，可以设置该 HTML 文档的内容安全策略。封闭站点可以​​使用 SRI 来确保它正在加载之前审核过的文档。

这样就可以照顾到封闭站点的信任。但是我不确定主流浏览器的用户如何验证

  • 加载的 iframe 文档与之前加载的文档相同（子资源完整性对用户可见）

  • 加载的 iframe 文档具有正确的内容安全策略，除非他们查看源代码。

也许有人可以解决上述两件事，用户如何信任加载的文档以及门已关闭。Web 使得不必信任 Internet 上的服务器以随时串通和更改代码变得非常困难。

于 2018-12-27T04:16:06.987 回答