[18] [[HTTP]] の[[ダイジェスト認証]]の [[nonce]] は、 次の場所で使われます。 [FIG(short list)[ - [CODE(HTTP)@en[[[nonce]]]] [[引数]] ([CODE(ABNF)@en[[[auth-param]]]]) - [CODE(HTTP)@en[[[cnonce]]]] [[引数]] - [CODE(HTTP)@en[[[nextnonce]]]] [[引数]] ]FIG] [19] [[HTML]] の [[nonce]] は、次の場所で使われます。 [FIG(short list)[ - [CODE(HTTP)@en[[[nonce]]]] [[引数]] ([[CSP]]) - [CODE(HTMLa)@en[[[nonce]]]] [[属性]] ]FIG] * 仕様書 [REFS[ - [3] [CITE@en[RFC 7616 - HTTP Digest Access Authentication]] ([TIME[2015-11-10 07:05:08 +09:00]] 版) - [22] [CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2016-02-16 01:30:20 +09:00]] 版) -- [24] [CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2016-02-21 07:50:23 +09:00]] 版) - [32] [CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2016-04-07 05:08:43 +09:00]] 版) ]REFS] * nonce (CSP、HTML) ** 意味 [25] [CODE(HTMLa)@en[[[nonce]]]] [[属性]]は、 [[CSP]] で[[スクリプト]]を実行するかどうか決定するために使う[RUBYB[暗号学的]@en[cryptographic]] [[nonce]] (number used once) を指定するものです [SRC[>>24]]。 ** 属性値 [26] [[属性値]]は、[[テキスト]]です [SRC[>>24]]。 ** 文脈 [36] [CODE(HTMLa)@en[nonce]] [[属性]]は、 [CODE(HTMLe)@en[script]] [[要素]]と [CODE(HTMLe)@en[link]] [[要素]]で指定できます。 [23] [CODE(HTMLe)@en[[[script]]]] [[要素]]の種別が[[データブロック]]の時は、 [CODE(HTMLa)@en[[[nonce]]]] [[属性]]を使っては[['''なりません''']] [SRC[>>22]]。 [31] [[スクリプトfetchオプション群]]は、[DFN[[F[[RUBYB[[[暗号学的nonce]]]@en[cryptographic nonce]]]]]]を持ちます [SRC[>>32]]。 これは[[スクリプトのfetch]]で使われます。 ** 処理 [27] [CODE(HTMLe)@en[[[script]]]] 参照。 [28] なお、初回処理時の値が使われるので、動的に変更しても、意味を持ちません [SRC[>>24]]。 ** [CODE(DOMi)@en[HTMLScriptElement]] インターフェイス, [CODE(DOMi)@en[HTMLLinkElement]] インターフェイス [CODE(DOMa)@en[nonce]] 属性 [29] [CODE(DOMi)@en[HTMLScriptElement]] [[インターフェイス]], [CODE(DOMi)@en[HTMLLinkElement]] [[インターフェイス]]の [DFN[[CODE(DOMa)@en[[[nonce]]]]]] [[IDL属性]]は、 [CODE(HTMLa)@en[[[nonce]]]] [[内容属性]]を[[反映]]しなければ[MUST[なりません]] [SRC[>>22]]。これは[[文字列]]として[[反映]]するものです。 ** 歴史 [5] [CITE@en[Bug 26081 – Consider defining or mentioning the nonce attribute]] ( ([TIME[2014-06-14 02:59:38 +09:00]] 版)) [2] [CITE@en[Merge pull request #171 from fmarier/csp2-remove-base64url · b4ab556 · w3c/webappsec]] ([TIME[2015-02-11 16:36:15 +09:00]] 版) [7] [CITE@en[Call out to CSP's inline element hooks · whatwg/html@ee3486e]] ([TIME[2015-11-08 16:32:08 +09:00]] 版) [8] [CITE@en[Define script@nonce and style@nonce attributes · whatwg/html@882803c]] ([TIME[2015-11-12 00:04:23 +09:00]] 版) [9] [CITE@en[Accept base64url characters in nonces and hashes. · w3c/webappsec-csp@b4c5543]] ([TIME[2015-11-20 18:45:10 +09:00]] 版) * [CODE(HTTP)@en[nonce]] 引数 (auth-param) ** 意味 [10] [[nonce]] は、 [CODE(HTTP)[[[401]]]] [[応答]]の作成の度に毎回固有に[[生成]]するべき、 [[サーバー]]が指定する[[文字列]]です。 [SRC[>>3]] [14] [[nonce]] は[[クライアント]]にとっては[[不透明]]です [SRC[>>3]]。 ** 構文 [17] [CODE(ABNF)@en[[[auth-param]]]] の[[引用文字列]]構文を使わなければ[['''なりません''']] [SRC[>>3]]。 [11] [[nonce]] は、 [[Base64]] や[[十六進数]]で表記した[[文字列]]とすると[RUBYB[いいです]@en[advise]]。 [SRC[>>3]] [12] 具体的な内容は、[[実装依存]]です [SRC[>>3]]。 ** 文脈 [15] [CODE(HTTP)@en[[[nonce]]]] [[引数]]は、[[ダイジェスト認証]]の [[challenge]] に指定できます [SRC[>>3]]。 [20] [CODE(HTTP)@en[[[nonce]]]] [[引数]]は必須です。 ;; [21] [[RFC 2617]] 時代は、 [[ABNF]] [SRC[>>4]] で必須であることを主張しようとした形跡があります。 [[RFC 7616]] には必須であるような規定はありません。しかし[[クライアント]]が [[credentials]] の [CODE(HTTP)@en[[[response]]]] [[引数]]の計算に [CODE(HTTP)@en[[[nonce]]]] を使いますから、[[サーバー]]は [[challenge]] に [CODE(HTTP)@en[[[nonce]]]] を指定しないといけません。 ** 処理 [13] 実装は、[[replay攻撃]]を防ぐため、前に使われた [[nonce]] の再利用を認めないこととできます。 [SRC[>>3]] [16] [CODE[[[response]]]] [[引数]]の値の計算に使われます。 ** 歴史 [REFS[ - [1] [CITE@en[RFC 2069 - An Extension to HTTP : Digest Access Authentication]] ([TIME[2012-02-26 10:05:21 +09:00]] 版) - [4] [CITE@en[RFC 2617 - HTTP Authentication: Basic and Digest Access Authentication]] ([TIME[2012-01-09 21:04:30 +09:00]] 版) ]REFS] * メモ [6] [CITE@ja-jp[ナンス ‐ 通信用語の基礎知識]] ([TIME[2015-07-14 22:47:40 +09:00]] 版) [30] [CITE@en[Add 'cryptographic nonce metadata' to requests · whatwg/fetch@667ca32]] ([TIME[2016-04-06 16:33:03 +09:00]] 版) [33] [CITE@en[Pass cryptographic nonce metadata to Fetch · whatwg/html@5479e07]] ([TIME[2016-04-07 16:08:44 +09:00]] 版) [34] [CITE@en[Wire nonces up to Fetch's cryptographic nonce metadata. · w3c/webappsec-csp@86ae8b1]] ([TIME[2016-04-12 17:14:01 +09:00]] 版) [35] [CITE@en[Add ]] ([[mikewest]]著, [TIME[2016-09-28 20:17:08 +09:00]]) [37] [CITE@en[Value-agnostic nonce matching (#222)]] ([[andypaicu]]著, [TIME[2017-05-30 21:51:31 +09:00]]) [38] [CITE@en[Make integrity="" work on module scripts]] ([[domenic]]著, [TIME[2017-09-14 18:00:24 +09:00]]) [39] [CITE@en[NoncedElement link.]] ([[mikewest]]著, [TIME[2017-12-01 22:53:04 +09:00]]) [40] [CITE@en[Hide nonce content attribute values]] ([[mikewest]]著, [TIME[2017-11-23 00:15:47 +09:00]]) [41] [CITE@en[Consider hiding `nonce` content attributes. · Issue #2369 · whatwg/html]] ([TIME[2018-02-17 23:20:14 +09:00]]) [42] [CITE@en[Consider not exposing nonce="" to the page · Issue #65 · w3c/webappsec-csp]] ([TIME[2018-02-17 23:22:57 +09:00]]) [43] [CITE@en[Hide `nonce` content attribute values. (#2369) by mikewest · Pull Request #2373 · whatwg/html]] ([TIME[2018-02-17 23:23:03 +09:00]]) [44] [CITE@en[Hide `nonce` content attribute values from non-script sources. by mikewest · Pull Request #436 · whatwg/dom]] ([TIME[2018-02-17 23:40:09 +09:00]]) [45] [CITE@en[Add HTMLOrSVGElement interface mixin]] ([[annevk]]著, [TIME[2018-03-23 19:30:45 +09:00]]) [46] [CITE@en[Fix and clarify some '''['''CEReactions''']''' annotations]] ([[domenic]]著, [TIME[2018-08-11 19:59:46 +09:00]]) [47] [CITE@en[nonce IDL attribute should have the semantics of CEReactions · Issue #3887 · whatwg/html]] ([TIME[2018-08-18 23:59:26 +09:00]]) [48] [CITE@en[Fix and clarify some '''['''CEReactions''']''' annotations by domenic · Pull Request #3901 · whatwg/html]] ([TIME[2018-08-19 00:00:06 +09:00]]) [49] [CITE@en[Convert string to UTF-8 before applying hash algorithms (#342)]] ([[andypaicu]]著, [TIME[2018-10-04 21:44:55 +09:00]]) [50] [CITE@en[Convert string to UTF-8 before applying hash algorithms by andypaicu · Pull Request #342 · w3c/webappsec-csp]] ([TIME[2018-10-22 01:19:24 +09:00]]) [51] [CITE@en[Hash encodings should be converted to UTF-8 · Issue #109 · w3c/webappsec-csp]] ([TIME[2018-10-22 01:19:39 +09:00]]) [52] [CITE@en[Only Chrome implements HTMLElement.nonce IDL attribute · Issue #4208 · whatwg/html · GitHub]] ([TIME[2019-01-08 10:43:25 +09:00]]) [53] [CITE@en[Added more notes about nonce attacks (#356)]] ([[andypaicu]]著, [TIME[2018-11-09 21:59:26 +09:00]]) [54] [CITE@en[Added more notes about nonce attacks by andypaicu · Pull Request #356 · w3c/webappsec-csp]] ([TIME[2019-03-08 16:49:49 +09:00]]) [55] [CITE@en[Add note about the importance of preventing nonce exfiltration/reuse · Issue #258 · w3c/webappsec-csp]] ([TIME[2019-03-08 16:50:08 +09:00]])