Çfarë bëjnë X-Content-Type-Options?

Titujt e sigurisë janë një nëngrup i titullit të përgjigjes HTTP që mund të vendoset nga një server në internet që secili zbaton një kontroll sigurie në shfletues. Titujt HTTP janë një formë e meta të dhënave të dërguara me kërkesa dhe përgjigje në ueb. Titulli i sigurisë "X-Content-Type-Options" i pengon shfletuesit të kryejnë nuhatje MIME.

Shënim: Titujt HTTP nuk janë ekskluzive për HTTP dhe përdoren gjithashtu në HTTPS.

Çfarë është nuhatja MIME?

Kur ndonjë e dhënë dërgohet në ueb, një nga pjesët e meta të dhënave të përfshira është një lloj MIME. Zgjatjet e postës së internetit me shumë qëllime ose llojet MIME janë një standard që përdoret për të përcaktuar llojin e të dhënave që përmban një skedar, i cili tregon se si duhet të trajtohet skedari. Në mënyrë tipike, tipi MIME përbëhet nga një lloj dhe nëntip me një parametër dhe vlerë opsionale. Për shembull, një skedar teksti UTF-8 do të kishte llojin MIME "text/plain;charset=UTF-8". Në atë shembull, lloji është "tekst", nëntipi është "i thjeshtë", parametri është "charset" dhe vlera është "UTF-8".

Për të parandaluar etiketimin dhe keqpërdorimin e skedarëve, serverët e uebit zakonisht kryejnë nuhatje MIME. Ky është një proces ku lloji MIME i deklaruar në mënyrë eksplicite injorohet, dhe në vend të kësaj, analizohet fillimi i skedarit. Shumica e llojeve të skedarëve përfshijnë sekuenca të kokës që tregojnë se çfarë lloj skedari është. Shumicën e kohës, llojet MIME janë të sakta dhe nuhatja e skedarit nuk bën dallim. Megjithatë, nëse ka një ndryshim, serverët e internetit do të përdorin llojin e skedarit të nuhatur për të përcaktuar se si të trajtojnë skedarin në vend të llojit të deklaruar MIME.

Problemi ndodh nëse një sulmues arrin të ngarkojë një skedar të tillë si një imazh PNG, por skedari është me të vërtetë diçka tjetër si kodi JavaScript. Për lloje të ngjashme skedarësh, si për shembull dy lloje tekstesh, kjo mund të mos shkaktojë shumë problem. Megjithatë, bëhet një çështje serioze, nëse në vend të kësaj mund të ekzekutohet një skedar krejtësisht i padëmshëm.

Çfarë bën X-Content-Type-Options?                                                

Kreu i X-Content-Type-Options ka vetëm një vlerë të mundshme "X-Content-Type-Options: nosniff". Aktivizimi i tij informon shfletuesin e përdoruesit se ai nuk duhet të kryejë nuhatje të llojit MIME dhe në vend të kësaj të mbështetet në vlerën e deklaruar në mënyrë eksplicite. Pa këtë cilësim, nëse një skedar JavaScript me qëllim të keq maskohej si një imazh si PNG, atëherë skedari JavaScript do të ekzekutohej. Me X-Content-Type-Options të aktivizuara, skedari do të trajtohet si një imazh që dështon të ngarkohet pasi skedari nuk është një format i vlefshëm imazhi.

X-Content-Type-Options nuk është veçanërisht e nevojshme në një faqe interneti që përdor burime tërësisht të palës së parë, pasi nuk ka asnjë shans që një skedar me qëllim të keq të shërbehet aksidentalisht. Nëse një faqe interneti përdor përmbajtje të palëve të treta, si burime të jashtme ose të dorëzuara nga përdoruesi, atëherë X-Content-Type-Options ofron mbrojtje kundër këtij lloji sulmi.