X-Frame-Options: allow-FROM in Firefox und Chrome

Question

Ich bin die Umsetzung eines "Pass-Through" für X-Frame-Options eine Partnerseite meines Arbeitgebers wickelt Website in einem Iframe zu lassen, gemäß diesem Artikel: http://blogs.msdn.com/b/ieinternals/archive/2010/03/30/combating-clickjacking-with-x-frame-options.aspx

(Aufteilen der URLs zum Posten)

Kurz gesagt, die Seite unseres Partners hat einen iframe mit einer URL für unsere Domain. Für jede Seite in unserer Domain fügen sie ein spezielles URL-Argument wie &@mykey=topleveldomain.com hinzu und sagen uns, was die Top-Level-Domain der Seite ist.

Unsere Filter holen die Partner-TLD, falls vorhanden, von der URL ab und validieren sie gegen eine Whitelist. Wenn es in der Liste ist, versenden wir die X-Frame-Options Kopfzeile mit dem Wert ALLOW-FROM topleveldomain.com (und fügen ein Cookie für zukünftige Klicks hinzu). Wenn es nicht auf unserer Whitelist ist, versenden wir SAMEORIGIN oder DENY.

Das Problem ist, es sieht aus wie Senden ALLOW-FROM domain Ergebnisse in einem No-Op-Overall für den neuesten Firefox und Google Chrome. Zumindest scheint IE8 ALLOW-FROM korrekt zu implementieren.

Schauen Sie sich diese Seite an: http://www.enhanceie.com/test/clickjack. Unmittelbar nach der 5. (von 5) Boxen, die "Inhalt zeigen soll", ist eine Box, die Inhalt nicht zeigen sollte, aber das ist. In diesem Fall sendet die Seite im Iframe X-Frame-Options: ALLOW-FROM http://www.debugtheweb.com, eine deutlich andere TLD als http://www.enhanceie.com. Der Rahmen zeigt jedoch immer noch Inhalt an.

Gibt es einen Einblick, ob X-Frame-Options wirklich mit ALLOW-FROM über relevante (Desktop-) Browser implementiert ist? Vielleicht hat sich die Syntax geändert?

Einige Links von Interesse:

• Entwurf rfc auf x-Frame-Optionen: http://tools.ietf.org/html/draft-gondrom-frame-options-01
• developer.mozilla Artikel den Header als 2-Optionsheader (sameorigin oder verweigern) zu diskutieren. https://developer.mozilla.org/en-US/docs/Web/HTTP/X-Frame-Options
• Msdn Blog, dass die ganze Sache initiiert: http://blogs.msdn.com/b/ie/archive/2009/01/27/ie8-security-part-vii-clickjacking-defenses.aspx
• Msdn Blog, das über 3 Werte spricht: Hinzufügen von allow-von Herkunft http://blogs.msdn.com/b/ieinternals/archive/2010/03/30/combating-clickjacking-with-x-frame-options.aspx

Answer 1

allow-AUS nicht in Chrome oder Safari unterstützt wird. Siehe MDN Artikel: https://developer.mozilla.org/en-US/docs/Web/HTTP/X-Frame-Options

Sie sind bereits dabei, einen benutzerdefinierten Header zu erstellen und senden Sie es mit den richtigen Daten, können Sie nicht nur die Kopfzeile auszuschließen, wenn Sie es von einem gültigen Partner erkennen und DENY zu jedem anderen hinzufügen anfordern? Ich sehe den Vorteil von AllowFrom nicht, wenn Sie die Logik bereits dynamisch aufbauen?

Answer 2

Ich postete diese Frage und sah nie das Feedback (das in einigen Monaten kam, scheint es :).

Wie von Kinlan erwähnt, wird ALLOW-FROM nicht in allen Browsern als X-Frame-Options-Wert unterstützt.

Die Lösung war, basierend auf Browser-Typ zu verzweigen. Für IE, Schiff X-Frame-Options. Für alle anderen versenden Sie X-Content-Security-Policy.

Hoffe, das hilft, und Entschuldigung, dass Sie so lange brauchen, um die Schleife zu schließen!

Answer 3

Für Chrome statt

response.AppendHeader("X-Frame-Options", "ALLOW-FROM " + host); 

benötigen Sie Content-Security-Policy

string selfAuth = System.Web.HttpContext.Current.Request.Url.Authority; 
string refAuth = System.Web.HttpContext.Current.Request.UrlReferrer.Authority; 
response.AppendHeader("Content-Security-Policy", "default-src 'self' 'unsafe-inline' 'unsafe-eval' data: *.msecnd.net vortex.data.microsoft.com " + selfAuth + " " + refAuth); 

auf die HTTP-Response-Header hinzuzufügen.
Beachten Sie, dass davon ausgegangen wird, dass Sie auf dem Server überprüft haben, ob refAuth zulässig ist oder nicht.
Und beachten Sie, dass Sie Browser-Erkennung durchführen müssen, um die allow-from Header für Chrome (Ausgaben Fehler auf der Konsole) zu vermeiden.

Weitere Informationen finden Sie my answer here.