Как перенаправить перенаправление портов для HSTS

В настоящее время находится в процессе создания нового персонального сервера. Я читал о HSTS (thanks EFF!), а также шаги для реализации на Nginx (например: here).Как перенаправить перенаправление портов для HSTS

То, что я не видел четко излагаю, - это то, как обращаться с первоначальной перенаправлением. Предоставлять ли я некоторое статическое содержимое ошибок на порту 80, перенаправление на фактический сайт на HTTPS?

Многое из того, что я читал до сих пор, говорит о том, что использование HTTP-протокола делает your site vulnerable атаками MITM. Другие seem to suggest, что до тех пор, пока у вас установлен флажок «Безопасный флаг» для всех созданных вами файлов cookie, вы в порядке. Конечно, плебей, что я, я не на preloaded HSTS site list, так что это не так.

В чем заключена сделка? Должен ли я обслуживать порт 80 и перенаправлять для удобства посетителей сайта, или я подвергаю их атаке?

Полное раскрытие информации: Незаконный доступ к торговле и незащищенный контент, просто голодный ум с возможностью обучения.

источник

2015-10-21 ReservedDeveloper

Используйте модуль перезаписи, чтобы заставить https на входящие HTTP-запросы и не обрабатывать HTTP-запрос. Для безопасности вашего сервера https не имеет к этому никакого отношения. HTTPS просто шифрует и обеспечивает передачу данных между вашим сервером и посетителями. Если у вас есть конфиденциальные данные для отправки/получения от/к посетителям, то да, https является обязательным/критическим, иначе я бы сказал, что https не является обязательным. –

@ 72DFBF5BA0DF5BE9 Да, это определенно необязательно в моем случае. Но у меня есть сертификат SSL, подтверждающий мой хозяин, и я хочу немного размять свой разум. – ReservedDeveloper

На вашем сайте в порту 80 вы просто отвечаете 301 response code, перенаправляя пользователя на ваш сайт HTTPS в порту 443. Защищенный сайт затем отправляет заголовок "Strict-Transport-Security".

Это все равно оставит ваших пользователей уязвимыми для атак типа «человек в середине» в первый раз, когда они посещают ваш сайт. Вы можете уменьшить это только за счет того, что ваш сайт находится в предварительно загруженном списке HSTS.

Не устанавливайте файлы cookie с незащищенного сайта и всегда используйте безопасный флаг при настройке файлов cookie с безопасного.

источник

2015-10-21 16:20:07 MvdD

Если я не устанавливаю файлы cookie на стороне ': 80', есть ли риск MITM, если они перешли на': 443'? – ReservedDeveloper

Да, поскольку злоумышленник, выполняющий «человек в середине», имеет полный контроль над тем, что отправляется в браузер, когда пользователь подключается к сайту с использованием HTTP. Аутентификация сервера при использовании HTTP отсутствует, поэтому злоумышленник может отправить вас на сайт HTTPS, которым он управляет (например, с похожим доменным именем), который выглядит точно так же, как и исходный сайт, и обманывает вас при входе на этот сайт с учетными данными оригинальный сайт. – MvdD

Я предполагаю, что основная проблема заключается в том, что вы не можете контролировать, что происходит между запросами пользователей HTTP -> MITM -> Server Sends Redirect to 443. Даже если все, что вы делаете на стороне порта 80, перенаправлено (без входа в систему, нет куки, ничего), там, вероятно, есть какой-то вектор атаки? – ReservedDeveloper

Как перенаправить перенаправление портов для HSTS

ответ

Смежные вопросы