Sikre nettleserbruk av API-ene

[Ceredron]

Beskrivelse
Når brukere av API-ene våre går direkte mot oss via en nettleser er de utsatt for enkelte nye angrepsvektorer. Vi bør sikre at nettleserene ikke eksekverer skadevare i filinnholdet ved å sette påtvinge å lese innholdet med riktig Content-Type ("application/octet-stream") slik at filen bare leses som en filstrøm, ikke video eller lignende. Vi kan også sørge for bedre sikkerhet ved bruk av delte datamaskiner ved å sette en "no-cache" policy på det returnerte innholdet.

Tasks

Beta Give feedback

1. V14.4.4: Verify that all responses contain a X-Content-Type-Options: nosniff header. #483
   kind/user-story product/formidling product/meldingstjenesten +3
   
2. V1.12.2: Verify that user-uploaded files - if required to be displayed or downloaded from the application - are served by either octet stream downloads, or from an unrelated domain, such as a cloud file storage bucket. Implement a suitable Content Security Policy (CSP) to reduce the risk from XSS vectors or other attacks from the uploaded file. #484
   kind/user-story +1
   
3. V8.2.1: Verify the application sets sufficient anti-caching headers so that sensitive data is not cached in modern browsers. #485
   kind/user-story product/formidling product/meldingstjenesten +3
   

[Ceredron]

Har vurdert APIM, men etter å ha sett mer på det ser jeg at APIM ikke er så god som først tiltenkt. Så opprinnelig for meg at en kunne definere en "browser-policy" som kunne brukes på tvers av produkter, men ser nå at det er ganske store forskjeller for hva som passer hvert use-case mtp caching og lignende, og APIM policies er verre å vedlikeholde enn noe nært egen kodebase.
Så jeg anbefaler å bruke Asp.Net middlewares isteden.