Artigo sobre segurança e privacidade (visão geral)Capítulo 9

Capítulo 9 Segurança Web e Isolamento de Cliente

A camada da web é a superfície mais exposta. Este capítulo define a postura básica de segurança da web para FileBolt: CSP e cabeçalhos rígidos, sem scripts de terceiros em páginas confidenciais e medidas defensivas contra injeção e abuso de UI.

9.1 Ameaças

XSS, injeção de DOM, scripts de cadeia de suprimentos, clickjacking e ataques de correção de UI.
Injeção imediata ou truques de interface do usuário para fazer os usuários revelarem links ou segredos.
Roubo de token por meio de armazenamento inseguro ou vazamento de referenciador.

9.2 Isolamento de páginas

Páginas confidenciais (baixar/descriptografar) DEVEM evitar scripts de terceiros e minimizar dependências.
O isolamento de origem cruzada PODE ser usado quando necessário para recursos de desempenho/segurança, mas DEVE permanecer compatível.
As páginas DEVEM aplicar políticas de referência rígidas para evitar vazamento de URLs.

9.3 Defesas de injeção/proteção contra abuso de UI

Todas as entradas não confiáveis DEVEM ser escapadas/limpas antes de serem inseridas no DOM.
Não renderize HTML não confiável. Prefira renderização de texto e modelos seguros.
Onde existirem nomes/metadados controlados pelo usuário, aplique restrições de comprimento e caracteres.

9.4 Cabeçalhos de segurança e políticas do navegador

9.4.1 Cabeçalhos recomendados (ilustrativos)

Content-Security-Policy com restritivo script-src e apropriado connect-src.
Política de referência: sem referência or strict-origin-when-cross-origin dependendo dos requisitos da página.
Opções de tipo de conteúdo X: nosniff, Permissions-Policye HSTS (ver Capítulo 5).

9.5 Evidência verificável

Links públicos para relatórios de terceiros são agregados em /status.
As evidências se concentram na postura básica de segurança da web (TLS, cabeçalhos); declarações de conhecimento zero em nível de protocolo são apoiadas por restrições de design e IDs de declaração.