HTTP saugos antraštės: CSP ir HSTS diegimas naršyklės pusėje

Saugos antraščių vaidmuo

HTTP saugos antraštės suteikia standartizuotą žiniatinklio taikomųjų programų mechanizmą, leidžiantį nurodyti naršyklėms vykdyti konkrečias saugos strategijas seanso metu [S1] [S2]. Šios antraštės veikia kaip esminis giluminės gynybos sluoksnis, mažinantis riziką, kurios gali nepavykti visiškai pašalinti naudojant vien programos logiką.

Turinio saugos politika (CSP)

Turinio saugos politika (CSP) yra saugos sluoksnis, padedantis aptikti ir sušvelninti tam tikrų tipų atakas, įskaitant kelių svetainių scenarijų (XSS) ir duomenų įterpimo atakas [S1]. Apibrėždama politiką, nurodančią, kuriuos dinaminius išteklius leidžiama įkelti, CSP neleidžia naršyklei vykdyti kenkėjiškų scenarijų, kuriuos suleido užpuolikas [S1]. Tai veiksmingai apriboja neteisėto kodo vykdymą, net jei programoje yra įpurškimo pažeidžiamumas.

HTTP griežta transporto sauga (HSTS)

HTTP griežta transporto sauga (HSTS) yra mechanizmas, leidžiantis svetainei informuoti naršykles, kad ji turėtų būti pasiekiama tik naudojant HTTPS, o ne HTTP [S2]. Tai apsaugo nuo protokolo pažeminimo atakų ir slapukų užgrobimo užtikrinant, kad visas ryšys tarp kliento ir serverio būtų užšifruotas [S2]. Kai naršyklė gaus šią antraštę, ji automatiškai pavers visus vėlesnius bandymus pasiekti svetainę per HTTP į HTTPS užklausas.

Trūkstamų antraščių pasekmės saugumui

Programoms, kurioms nepavyksta įdiegti šių antraščių, kyla daug didesnė kliento pusės kompromiso rizika. Turinio saugos politikos nebuvimas leidžia vykdyti neteisėtus scenarijus, dėl kurių gali būti užgrobta sesija, neteisėtai išfiltruojami duomenys arba sugadinami [S1]. Panašiai, jei nėra HSTS antraštės, vartotojai tampa jautrūs tarpininko (MITM) atakoms, ypač pradiniame prisijungimo etape, kai užpuolikas gali perimti srautą ir nukreipti vartotoją į kenkėjišką arba nešifruotą svetainės [S2] versiją.

Kaip FixVibe tai tikrina

FixVibe tai jau įtraukta kaip pasyvus nuskaitymo patikrinimas. headers.security-headers tikrina viešuosius HTTP atsako metaduomenis, ar nėra Content-Security-Policy, Strict-Transport-Security, X-Frame-Options arba ZXCVFIXVIBETOKEN4ZXVCENVIXVIXVIX, ZBETOKX, Referrer-Policy ir Permissions-Policy. Ji praneša apie trūkstamas arba silpnas reikšmes be išnaudojimo zondų, o taisymo raginimas pateikia įprastų programų ir CDN sąrankų diegimui paruoštų antraščių pavyzdžius.

Ištaisymo gairės

Siekiant pagerinti saugumą, žiniatinklio serveriai turi būti sukonfigūruoti taip, kad šios antraštės būtų grąžintos visuose gamybos maršrutuose. Tvirtas CSP turėtų būti pritaikytas prie konkrečių programos išteklių reikalavimų, naudojant tokias direktyvas kaip script-src ir object-src, kad būtų apribota scenarijaus vykdymo aplinka [S1]. Siekiant užtikrinti transportavimo saugumą, Strict-Transport-Security antraštė turi būti įjungta naudojant atitinkamą max-age direktyvą, kad būtų užtikrinta nuolatinė apsauga per naudotojo seansus [S2].