サブリソース完全性 (SRI).

サブリソース完全性(Subresource Integrity)は 2016 年に W3C 勧告として標準化された仕組みで、script タグや link タグの integrity 属性に、期待するファイルの base64 エンコードされた SHA-256/384/512 ダイジェストを 1 つ以上指定して設定します。ブラウザはリソースを取得したうえでダイジェストを再計算し、指定されたハッシュのいずれとも一致しない場合は実行や適用を拒否します。スペース区切りで複数のハッシュを指定すると、既知の正当な複数バージョンをページで受け入れられます。SRI は正確なバイト列を事前に把握している必要があるため、動的に生成されるアセットではなく、静的でバージョン固定されたアセットを保護します。

SRI は、CDN の侵害や、Magecart ファミリーのような乗っ取られたサードパーティスクリプトに対する、主要なクライアント側の防御策です。Polyfill.io 攻撃はその重要性を示しています。2024 年 2 月に新しい所有者が cdn.polyfill.io ドメインを取得した後、この CDN はモバイルユーザーを詐欺サイトへリダイレクトするペイロードを配信し始めました。これは 2024 年 6 月 25 日に Sansec によって発見され、10 万を超えるサイトに影響しました(CVE-2024-38526 として追跡)。integrity ハッシュを固定していたページであれば、ダイジェストがもはや一致しないため、改ざんされたファイルを直ちにブロックできたはずです。

SRI は CSP や crossorigin 属性と併用して機能し、コードとダイジェストが乖離しないよう、ビルドパイプラインでのバージョン固定とハッシュの自動再生成と組み合わせて使うべきです。

flowchart TD
  A["ブラウザが integrity 属性付き<br/>タグを解析"] --> B[CDN からリソースを取得]
  B --> C[SHA-256/384/512 ダイジェストを計算]
  C --> D{ダイジェストが<br/>指定ハッシュと一致?}
  D -->|一致| E[リソースを実行 / 適用]
  D -->|不一致 — 改ざんまたは差し替え| F[ブロックしてエラーを発生]