Čo sú HTTP bezpečnostné hlavičky?
HTTP bezpečnostné hlavičky sú pokyny, ktoré webový server posiela prehliadaču a ktoré určujú, ako má prehliadač spracovať web a niektoré bezpečnostne citlivé funkcie. Môžu znížiť vystavenie bežným webovým rizikám, ale sú iba jednou vrstvou celkovej bezpečnosti.
Čo robia HTTP bezpečnostné hlavičky?
Prehliadač pri načítaní webu dostáva viac než len HTML. HTTP hlavičky odpovede môžu určovať, či sa má používať iba HTTPS, ktoré zdroje sa môžu načítať, koľko referrer informácií možno odoslať, či je povolené MIME sniffing a či sú povolené určité funkcie prehliadača alebo framing.
Ktoré bezpečnostné hlavičky by ste mali kontrolovať?
Strict-Transport-Security (HSTS)
HSTS informuje prehliadač, že hostiteľ má byť počas určeného obdobia dostupný iba cez HTTPS. Pomáha zabrániť budúcemu prístupu cez HTTP a chrániť pred downgrade útokmi.
Strict-Transport-Security: max-age=31536000
Content-Security-Policy (CSP)
CSP určuje, ktoré zdroje môže prehliadač načítať, a môže obmedziť skripty, frame, štýly, obrázky a ďalší obsah. Správne navrhnutý CSP môže znížiť dopad XSS a súvisiacich injection útokov.
Content-Security-Policy: default-src 'self'
X-Content-Type-Options
Hodnota nosniff informuje prehliadač, aby rešpektoval MIME typ uvedený serverom namiesto jeho odhadovania. Pomáha tým obmedziť problémy s MIME sniffingom.
X-Content-Type-Options: nosniff
Referrer-Policy
Referrer-Policy určuje, koľko informácií z aktuálnej URL môže byť odoslaných ako referrer pri ďalšej požiadavke.
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy
Permissions-Policy určuje, či dokument alebo vložené frames môžu používať vybrané funkcie prehliadača, napríklad kameru alebo mikrofón.
Permissions-Policy: camera=(), microphone=()
X-Frame-Options
X-Frame-Options určuje, či môže byť stránka načítaná vo frame. Môže pomôcť chrániť pred clickjackingom; pri novších nasadeniach poskytuje CSP frame-ancestors flexibilnejšiu kontrolu.
X-Frame-Options: DENY
Čo robí HSTS?
HSTS informuje prehliadač, aby počas obdobia určeného pomocou max-age používal pre hostiteľa HTTPS. Pomocou includeSubDomains môže politika zahŕňať aj subdomény. HSTS by mal byť zapnutý iba s nastavením vhodným pre domény, ktoré ovládate.
Čo robí CSP?
Content Security Policy umožňuje definovať, odkiaľ môžu pochádzať rôzne typy zdrojov. Politika môže obmedzovať skripty a ďalší obsah a zároveň riadiť framing a ďalšie správanie prehliadača.
CSP je veľmi účinný, ale ľahko sa nesprávne nakonfiguruje. Príliš prísna politika môže rozbiť legitímne funkcie, zatiaľ čo príliš voľná poskytuje malú ochranu. Pred nasadením ju treba otestovať proti skutočnej aplikácii.
Čo robí nosniff?
X-Content-Type-Options: nosniff informuje prehliadač, aby používal deklarovaný Content-Type namiesto odhadovania MIME typu. Server však musí naďalej posielať správne Content-Type hodnoty.
Čo robí Referrer-Policy?
Referrer-Policy obmedzuje informácie, ktoré môžu byť uvedené v Referer hlavičke požiadavky. Je užitočná najmä vtedy, keď URL obsahuje cestu alebo parametre, ktoré nemajú byť zbytočne odhalené inému originu.
Čo robí Permissions-Policy?
Permissions-Policy umožňuje definovať, ktoré funkcie prehliadača sú dostupné dokumentu a vloženým frames. Nepoužívané funkcie môže web deaktivovať namiesto toho, aby ich nechal zbytočne dostupné.
Čo robí X-Frame-Options?
X-Frame-Options môže zabrániť zobrazeniu stránky vo frame a pomôcť pri ochrane proti clickjackingu. CSP frame-ancestors poskytuje väčšiu kontrolu nad povolenými framing origins.
A čo X-XSS-Protection?
X-XSS-Protection je staršia funkcia prehliadačov a nie je modernou náhradou za Content-Security-Policy. OWASP odporúča nespoliehať sa na ňu ako na hlavný bezpečnostný mechanizmus.
Čo sa stane, keď bezpečnostná hlavička chýba?
Záleží na konkrétnej hlavičke. Chýbajúci HSTS znamená, že prehliadač nedostáva túto hostiteľskú HTTPS politiku. Chýbajúci CSP znamená, že aplikácia neuplatňuje ochrany svojej CSP politiky. Iné chýbajúce hlavičky odstránia príslušné obmedzenia. Chýbajúca hlavička je preto konfiguračný signál, nie automaticky dôkaz zraniteľnosti.
Treba bezpečnostné hlavičky monitorovať?
Áno, najmä ak web závisí od známej bezpečnostnej konfigurácie. Hlavičky môžu zmiznúť alebo sa zmeniť po deploymente, zmene reverse proxy, migrácii CDN alebo aktualizácii webového servera. Externý monitoring dokáže tieto zmeny odhaliť z pohľadu bežného návštevníka.
Ako Viglar monitoruje bezpečnostné hlavičky
Viglar kontroluje HTTP bezpečnostné hlavičky, ktoré váš web poskytuje, a dokáže odhaliť chýbajúce alebo zmenené bezpečnostné nastavenia. Pomáha tak zachytiť zmeny konfigurácie po deploymente, zmene hostingu alebo infraštruktúry.
Chcete skontrolovať bezpečnostné hlavičky?
Spustite rýchlu externú kontrolu cez Viglar a skontrolujte bezpečnostné hlavičky, ktoré váš web aktuálne poskytuje.
Skontrolovať web