🛡️ Sentinel: CSP의 unsafe-inline 제거 및 nonce 적용을 통한 보안 강화

.jules/sentinel.md

@@ -27,3 +27,8 @@
 **Vulnerability:** `File(path).canonicalFile`를 사용하여 심볼릭 링크 여부를 검사하면, `canonicalFile` 함수 내부에서 심볼릭 링크를 이미 대상(target) 파일의 실제 경로로 해석(resolve)해 버리기 때문에, 이후에 진행되는 `Files.isDirectory(..., LinkOption.NOFOLLOW_LINKS)` 등의 심볼릭 링크 제한 검사가 완전히 무력화되는 취약점이 발견되었습니다.
 **Learning:** `canonicalFile`은 보안 검사(경로 조작 등)를 위해 절대 경로를 얻을 때 유용할 수 있지만, 심볼릭 링크 자체의 특성(심볼릭 링크인지 아닌지)을 보존해야 하는 맥락에서는 사용하면 안 됩니다.
 **Prevention:** 심볼릭 링크 여부를 검사해야 하거나 심볼릭 링크 자체를 제한해야 하는 경우에는 `canonicalFile` 대신 `absoluteFile.toPath().normalize().toFile()`과 같이 심볼릭 링크를 해석하지 않고 경로만 정규화하는 방식을 사용해야 합니다.
+
+## 2024-07-07 - [CSP 개선: unsafe-inline 제거 및 nonce 적용]
+**Vulnerability:** HTML 생성 시 `<meta http-equiv="Content-Security-Policy">`에 `style-src 'unsafe-inline'`이 설정되어 있어, 악의적인 사용자가 스타일 인젝션을 통해 XSS 공격을 수행할 위험이 존재했습니다.
+**Learning:** `unsafe-inline`은 브라우저에서 인라인 스크립트와 스타일을 허용하기 때문에 보안상 취약합니다. 동적으로 생성되는 HTML에 인라인 스타일을 적용해야 할 경우, CSS 클래스로 분리하고 스타일 태그에 동적으로 생성된 `nonce`를 사용하는 것이 더 안전하다는 것을 배웠습니다.
+**Prevention:** 향후 HTML 생성 시 인라인 스타일 속성(`style="..."`)의 사용을 지양하고, CSS 클래스와 `nonce` 기반의 CSP를 엄격하게 적용해야 합니다.

src/main/kotlin/html4tree/main.kt

@@ -154,13 +154,23 @@ fun write_index_file(curr_dir: File, content: String) {
 fun process_dir(curr_dir: File){
 
     val exclude: Set<String> = process_ignore_file(curr_dir)
+    val nonce = java.util.UUID.randomUUID().toString().replace("-", "")
 
     val css = """
-              <style>
+              <style nonce="$nonce">
               ul {
                 list-style-type: none;
                 padding-left: 0;
               }
+              .link-item {
+                display: block;
+                width: 100%;
+              }
+              .empty-msg {
+                padding: 0.5rem;
+                color: #666;
+                font-style: italic;
+              }
               a {
                 padding: 0.5rem;
                 text-decoration: none;
@@ -182,7 +192,7 @@ fun process_dir(curr_dir: File){
         <meta charset="UTF-8">
         <meta name="viewport" content="width=device-width, initial-scale=1.0">
         <!-- 보안 향상: 인라인 스크립트 실행 방지 -->
-        <meta http-equiv="Content-Security-Policy" content="default-src 'none'; style-src 'unsafe-inline';">
+        <meta http-equiv="Content-Security-Policy" content="default-src 'none'; style-src 'nonce-$nonce';">
         <title>${curr_dir.getName().escapeHtml()}</title>
         ${css}
      </head>
@@ -191,7 +201,7 @@ fun process_dir(curr_dir: File){
          <h1>${curr_dir.getName().escapeHtml()}</h1>
          <nav aria-label="Directory listing">
          <ul>
-            <li><a style="display:block; width:100%" href="./.." aria-label="상위 디렉토리로 이동"><span aria-hidden="true">&#x21B0;</span> ..</a></li>
+            <li><a class="link-item" href="./.." aria-label="상위 디렉토리로 이동"><span aria-hidden="true">&#x21B0;</span> ..</a></li>
 """ 
 
     val index_middle = fun():String{ 
@@ -206,13 +216,13 @@ fun process_dir(curr_dir: File){
               val encodedHref = if (isLinkedDirectory) { "./${fileName.urlEncodePath()}/" } else { "./${fileName.urlEncodePath()}" }
               val ariaLabel = "${fileName} ${if (isLinkedDirectory) { "디렉토리" } else { "파일" }}".escapeHtml()
               val icon = if (isLinkedDirectory) { "&#128193;" } else { "&rtrif;" }
-              l.append("""          <li><a style="display:block; width:100%" href="${encodedHref}" aria-label="${ariaLabel}"><span aria-hidden="true">${icon}</span> ${fileName.escapeHtml()}</a></li>""")
+              l.append("""          <li><a class="link-item" href="${encodedHref}" aria-label="${ariaLabel}"><span aria-hidden="true">${icon}</span> ${fileName.escapeHtml()}</a></li>""")
               l.append('\n')
            }
         }
 
         if(l.isEmpty()){
-            l.append("""          <li><div style="padding: 0.5rem; color: #666; font-style: italic;">이 디렉토리는 비어 있습니다.</div></li>""")
+            l.append("""          <li><div class="empty-msg">이 디렉토리는 비어 있습니다.</div></li>""")
             l.append('\n')
         }
 

src/test/kotlin/html4tree/MainTest.kt

@@ -13,6 +13,7 @@ import kotlin.test.assertFailsWith
 import kotlin.test.assertFalse
 import kotlin.test.assertNull
 import kotlin.test.assertTrue
+import kotlin.test.assertNotNull
 
 class MainTest {
     private lateinit var tempDir: File
@@ -160,7 +161,13 @@ class MainTest {
         assertTrue(htmlContent.contains("📁"))
         assertFalse(htmlContent.contains("test.ignore"))
         assertTrue(htmlContent.contains("Content-Security-Policy"))
-        assertTrue(htmlContent.contains("default-src 'none'; style-src 'unsafe-inline';"))
+        assertFalse(htmlContent.contains("'unsafe-inline'"))
+        val cspRegex = "style-src 'nonce-([a-f0-9-]{32,36})'".toRegex()
+        val matchResult = cspRegex.find(htmlContent)
+        assertNotNull(matchResult, "CSP nonce should be generated")
+        val nonce = matchResult.groups[1]?.value ?: ""
+        assertTrue(htmlContent.contains("<style nonce=\"$nonce\">"), "Style tag should use the generated nonce")
+        assertTrue(htmlContent.contains("class=\"link-item\""))
     }
 
     @Test