🛡️ Sentinel: [HIGH] 인라인 스타일 'unsafe-inline' CSP 보안 취약점 수정 및 Nonce 기반 정책 적용

.jules/sentinel.md

@@ -27,6 +27,11 @@
 **Vulnerability:** `File(path).canonicalFile`를 사용하여 심볼릭 링크 여부를 검사하면, `canonicalFile` 함수 내부에서 심볼릭 링크를 이미 대상(target) 파일의 실제 경로로 해석(resolve)해 버리기 때문에, 이후에 진행되는 `Files.isDirectory(..., LinkOption.NOFOLLOW_LINKS)` 등의 심볼릭 링크 제한 검사가 완전히 무력화되는 취약점이 발견되었습니다.
 **Learning:** `canonicalFile`은 보안 검사(경로 조작 등)를 위해 절대 경로를 얻을 때 유용할 수 있지만, 심볼릭 링크 자체의 특성(심볼릭 링크인지 아닌지)을 보존해야 하는 맥락에서는 사용하면 안 됩니다.
 **Prevention:** 심볼릭 링크 여부를 검사해야 하거나 심볼릭 링크 자체를 제한해야 하는 경우에는 `canonicalFile` 대신 `absoluteFile.toPath().normalize().toFile()`과 같이 심볼릭 링크를 해석하지 않고 경로만 정규화하는 방식을 사용해야 합니다.
+## 2024-05-27 - [Migrated from 'unsafe-inline' to Nonce-based CSP for Inline Styles]
+**Vulnerability:** The static HTML generated by the tool used a strict Content-Security-Policy (CSP) that included `style-src 'unsafe-inline'`, which allows the execution of potentially malicious inline styles, increasing the risk of XSS attacks.
+**Learning:** To adhere strictly to CSP best practices in static HTML generators, dynamic components like nonces should be generated at build/generation time. In Kotlin, this can be efficiently done using `SecureRandom()` to create a 16-byte nonce encoded in Base64.
+**Prevention:** Avoid using `'unsafe-inline'` in `Content-Security-Policy` headers or meta tags. Instead, generate a unique nonce for each request or generated file and apply it to `<style>` tags and corresponding CSP directives. Replace inline `style="..."` attributes with predefined CSS classes.
+
 ## 2024-05-24 - [디렉토리 목록을 통한 정보 노출 (Information Exposure)]
 **Vulnerability:** 정적 HTML 디렉토리 인덱서(`html4tree`)가 민감한 시스템 및 설정 파일(`.git`, `.env`, `.ssh`, `.htpasswd` 등)을 포함하여 모든 파일과 디렉토리를 무분별하게 나열하여, 생성된 HTML이 공개적으로 호스팅될 경우 심각한 정보 노출로 이어질 수 있었습니다.
 **Learning:** 디렉토리 구조를 자동 생성하는 도구는 반드시 "기본적으로 안전한(secure by default)" 정책을 채택해야 합니다. 사용자 제공 무시 파일(`.html4ignore`)에만 의존하는 것은 사용자가 설정을 잊거나 어떤 파일이 민감한지 모를 수 있기 때문에 불충분합니다.

src/main/kotlin/html4tree/main.kt

@@ -4,6 +4,8 @@ import java.io.File
 import java.nio.file.Files
 import java.nio.file.LinkOption
 import java.nio.file.StandardCopyOption
+import java.security.SecureRandom
+import java.util.Base64
 import com.github.ajalt.clikt.core.CliktCommand
 import com.github.ajalt.clikt.parameters.options.option
 import com.github.ajalt.clikt.parameters.options.default
@@ -174,8 +176,12 @@ fun process_dir(curr_dir: File){
 
     val exclude: Set<String> = process_ignore_file(curr_dir)
 
+    val nonceBytes = ByteArray(16)
+    SecureRandom().nextBytes(nonceBytes)
+    val nonce = Base64.getEncoder().encodeToString(nonceBytes)
+
     val css = """
-              <style>
+              <style nonce="${nonce}">
               ul {
                 list-style-type: none;
                 padding-left: 0;
@@ -193,6 +199,15 @@ fun process_dir(curr_dir: File){
                 outline: 2px solid #0366d6;
                 outline-offset: -2px;
               }
+              .dir-link {
+                display: block;
+                width: 100%;
+              }
+              .empty-dir {
+                padding: 0.5rem;
+                color: #666;
+                font-style: italic;
+              }
               @media (prefers-reduced-motion: reduce) {
                 a {
                   transition: none;
@@ -207,7 +222,7 @@ fun process_dir(curr_dir: File){
         <meta charset="UTF-8">
         <meta name="viewport" content="width=device-width, initial-scale=1.0">
         <!-- 보안 향상: 인라인 스크립트 실행 방지 -->
-        <meta http-equiv="Content-Security-Policy" content="default-src 'none'; style-src 'unsafe-inline';">
+        <meta http-equiv="Content-Security-Policy" content="default-src 'none'; style-src 'nonce-${nonce}';">
         <title>${curr_dir.getName().escapeHtml()}</title>
         ${css}
      </head>
@@ -216,7 +231,7 @@ fun process_dir(curr_dir: File){
          <h1>${curr_dir.getName().escapeHtml()}</h1>
          <nav aria-label="Directory listing">
          <ul>
-            <li><a style="display:block; width:100%" href="./.." aria-label="상위 디렉토리로 이동"><span aria-hidden="true">&#x21B0;</span> ..</a></li>
+            <li><a class="dir-link" href="./.." aria-label="상위 디렉토리로 이동"><span aria-hidden="true">&#x21B0;</span> ..</a></li>
 """ 
 
     val index_middle = fun():String{ 
@@ -231,13 +246,13 @@ fun process_dir(curr_dir: File){
               val encodedHref = if (isLinkedDirectory) { "./${fileName.urlEncodePath()}/" } else { "./${fileName.urlEncodePath()}" }
               val ariaLabel = "${fileName} ${if (isLinkedDirectory) { "디렉토리" } else { "파일" }}".escapeHtml()
               val icon = if (isLinkedDirectory) { "&#128193;" } else { "&rtrif;" }
-              l.append("""          <li><a style="display:block; width:100%" href="${encodedHref}" aria-label="${ariaLabel}"><span aria-hidden="true">${icon}</span> ${fileName.escapeHtml()}</a></li>""")
+              l.append("""          <li><a class="dir-link" href="${encodedHref}" aria-label="${ariaLabel}"><span aria-hidden="true">${icon}</span> ${fileName.escapeHtml()}</a></li>""")
               l.append('\n')
            }
         }
 
         if(l.isEmpty()){
-            l.append("""          <li><div style="padding: 0.5rem; color: #666; font-style: italic;">이 디렉토리는 비어 있습니다.</div></li>""")
+            l.append("""          <li><div class="empty-dir">이 디렉토리는 비어 있습니다.</div></li>""")
             l.append('\n')
         }
 

src/test/kotlin/html4tree/MainTest.kt

@@ -160,7 +160,7 @@ class MainTest {
         assertTrue(htmlContent.contains("📁"))
         assertFalse(htmlContent.contains("test.ignore"))
         assertTrue(htmlContent.contains("Content-Security-Policy"))
-        assertTrue(htmlContent.contains("default-src 'none'; style-src 'unsafe-inline';"))
+        assertTrue(htmlContent.contains("default-src 'none'; style-src 'nonce-"))
     }
 
     @Test