Uloga sigurnosnih zaglavlja
HTTP sigurnosna zaglavlja pružaju standardizirani mehanizam za web aplikacije da upute pretraživače da provode specifične sigurnosne politike tokom sesije [S1] [S2]. Ova zaglavlja djeluju kao kritični sloj dubinske odbrane, ublažavajući rizike koji se možda neće u potpunosti riješiti samo aplikacijskom logikom.
Politika sigurnosti sadržaja (CSP)
Politika sigurnosti sadržaja (CSP) je sigurnosni sloj koji pomaže u otkrivanju i ublažavanju određenih vrsta napada, uključujući skriptovanje na više lokacija (XSS) i napade ubrizgavanjem podataka [S1]. Definiranjem politike koja specificira koji se dinamički resursi smiju učitati, CSP sprječava pretraživač da izvrši zlonamjerne skripte koje je ubacio napadač [S1]. Ovo efektivno ograničava izvršavanje neovlaštenog koda čak i ako u aplikaciji postoji ranjivost ubrizgavanja.
HTTP stroga sigurnost transporta (HSTS)
HTTP stroga sigurnost transporta (HSTS) je mehanizam koji omogućava web stranici da obavijesti pretraživače da joj treba pristupiti samo putem HTTPS-a, umjesto HTTP-a [S2]. Ovo štiti od napada na nižu verziju protokola i otmice kolačića tako što osigurava da je sva komunikacija između klijenta i servera šifrirana [S2]. Jednom kada pretraživač primi ovo zaglavlje, automatski će konvertovati sve naredne pokušaje pristupa web stranici putem HTTP-a u HTTPS zahtjeve.
Sigurnosne implikacije nedostajućih zaglavlja
Aplikacije koje ne uspiju implementirati ova zaglavlja su pod znatno većim rizikom od kompromitacije na strani klijenta. Nedostatak politike sigurnosti sadržaja omogućava izvršavanje neovlaštenih skripti, što može dovesti do otmice sesije, neovlaštene eksfiltracije podataka ili oštećenja [S1]. Slično tome, nedostatak zaglavlja HSTS ostavlja korisnike podložnim napadima čovjeka u sredini (MITM), posebno tokom početne faze povezivanja, gdje napadač može presresti promet i preusmjeriti korisnika na zlonamjernu ili nešifrovanu verziju stranice ZXCVFIXVIBETOKEN1ZX.
Kako FixVibe testira za to
FixVibe ovo već uključuje kao pasivnu provjeru skeniranja. headers.security-headers provjerava javne metapodatke HTTP odgovora na prisutnost i snagu Content-Security-Policy, Strict-Transport-Security, X-Frame-Options ili ZXCVFIXVIBETOKEN4XCV, ZXCVFIXVIBETOKEN4XCV, ZXCVFIXVIBETOKEN4XCV, Strict-Transport-Security Referrer-Policy i Permissions-Policy. Prijavljuje nedostajuće ili slabe vrijednosti bez probe eksploatacije, a njegov prompt za popravku daje primjere zaglavlja spremnih za implementaciju za uobičajena podešavanja aplikacija i CDN-a.
Smjernice za sanaciju
Da bi se poboljšala sigurnost, web serveri moraju biti konfigurirani da vraćaju ova zaglavlja na svim proizvodnim rutama. Robustan CSP bi trebao biti prilagođen specifičnim zahtjevima za resurse aplikacije, koristeći direktive kao što su script-src i object-src za ograničavanje okruženja izvršavanja skripte ZXCVFIXVIBETOKEN4ZXC. Za sigurnost transporta, zaglavlje Strict-Transport-Security treba biti omogućeno s odgovarajućom max-age direktivom kako bi se osigurala trajna zaštita kroz korisničke sesije [S2].