Le applicazioni SPA hanno considerazioni di sicurezza diverse rispetto ai siti HTML5?

Le applicazioni SPA sono più o meno immuni da CSRF, XSS o altri attacchi normali?

Generalmente, no. L'interazione tra il client e il server dovrebbe essere simile, se non identica a quella di un'app web plain-old-AJAXifed. Stai ancora trattando le richieste e le risposte HTTP provenienti da un cliente non fidato e, in base alle tue esigenze, deve essere trattato con attenzione, ma non vedo alcun rischio aggiuntivo particolare che io consideri una regola.

Tuttavia:

Ci sono due dei Top 10 di OWASP che sono potenzialmente più a rischio di essere protetti in modo improprio.

1) Esposizione dati sensibili

Se non stai attento a quali dati sono contenuti dal caricamento iniziale della pagina, potresti facilmente inviare dati che non dovrebbero essere necessariamente esposti a tutti gli utenti. Poiché l'intera pagina non è generalmente visibile nel browser in una SPA, ciò può far cullare uno sviluppatore distratto in un falso senso di sicurezza.

2) Controllo di accesso a livello di funzione mancante

Nella mia mente, questo è il più grande quando si parla di SPA. Dato che stai spostando le funzioni e la logica dal server e dal client, è molto, molto facile fornire a un client l'accesso a funzioni che non è autorizzato a utilizzare. In una certa misura questo può essere attenuato dal fatto che gli endpoint dei dati dovrebbero essere protetti separatamente e questo dovrebbe causare il fallimento di qualsiasi tentativo di utilizzare funzioni non autorizzate, ma questo è quello che mi dà bruciore di stomaco.

Esistono idee sbagliate su come eseguire le applicazioni SPA che portano a vulnerabilità della sicurezza?

Sì. Un grosso malinteso (in ogni caso, da parte degli sviluppatori meno attenti alla sicurezza) è che la logica dell'applicazione ti appartiene ancora e che puoi fare affidamento su JavaScript nel browser per cose come la convalida dell'input e la funzione. Come tutti sappiamo, non è possibile. Se è sul client, non appartiene a te. Qualsiasi convalida e autorizzazione che si verificano sul client è UX, non sicurezza dell'applicazione. I tuoi endpoint sul server sono in definitiva e totalmente responsabili di garantire la sicurezza dei dati e dell'applicazione.

I problemi di autenticazione sono diversi? (Uso della sessione HTML5 e passaggio dei parametri alla seconda pagina SPA)

Non che io possa pensare. Ricorda, le SPA non sono un modello fondamentalmente diverso, solo un nuovo modo per consentire agli utenti di interagire con un'applicazione web in modo da sfruttare le moderne funzionalità del browser per offrire un'esperienza utente migliore.

Direi che le ZPS sono più vulnerabili a JSON Hijacking (che è una forma di CSRF) perché molte di queste applicazioni si affidano a JSON per trasmettere informazioni. Si tratta di un attacco che consente a un sito dannoso di recuperare ed elaborare i dati anziché la comunicazione unidirezionale in genere visualizzata con CSRF.

Phil Haack ha scritto un grande articolo che approfondisce il modo in cui funziona .