Az Ön weboldala: https, HSTS és biztonsági fejlécek

Modul 4: E-mail, weboldal és domain · Olvasási idő: 11 perc

Tanulási cél: E lecke után képes lesz ellenőrizni weboldala alapvető védelmét: érvényes tanúsítvány, https-re irányítás, HSTS megfelelő max-age értékkel, a legfontosabb biztonsági fejlécek, valamint a CMS frissítése.
Kulcsfogalmak: TLS-tanúsítvány, https, https-re irányítás, HSTS, max-age, includeSubDomains, preload, HTTP-fejléc, Content-Security-Policy, X-Content-Type-Options, frame-ancestors, X-Frame-Options, Referrer-Policy

Mi történik, amikor valaki megnyitja az Ön weboldalát

Ha egy ügyfél beírja a example.com címet a címsorba, a böngésző lekéri az oldalt az Ön webszerveréről. Ez a kommunikáció HTTP-n keresztül zajlik. A https esetén ezt egy titkosított kapcsolat veszi körül: a TLS. Ehhez a weboldalnak TLS-tanúsítványra van szüksége (gyakran még mindig SSL-tanúsítványnak nevezik). A tanúsítvány igazolja, hogy a szerver valóban a example.com domainhez tartozik, a titkosítás pedig biztosítja, hogy útközben senki ne olvashassa el vagy módosíthassa az adatokat. Ez különösen fontos nyilvános wifi esetén, ahol nem tudni, ki kezeli a hálózatot (5.3. lecke).

Minden válasszal együtt a szerver az oldal tartalma mellett egy sor fejlécet is küld: rövid sorokat, amelyek információt és utasításokat tartalmaznak a böngésző számára. Ezek nem jelennek meg a képernyőn, de nagyban meghatározzák, hogy a böngésző mennyire biztonságosan kezeli az Ön oldalát. Ezeknek egy része biztonsági fejléc. Ebben a leckében végignézzük a négy réteget: tanúsítvány, átirányítás, HSTS és fejlécek. Ezután röviden kitérünk magának a weboldalnak a frissítésére is.

1. réteg: érvényes tanúsítvány

Egy tanúsítvány akkor rendben van, ha három feltételnek megfelel:

1. nem járt le;
2. egy megbízható kibocsátó adta ki (olyan hitelesítésszolgáltató, amelyet a böngészők ismernek, például a Let's Encrypt vagy egy kereskedelmi szolgáltató);
3. pontosan arra a névre érvényes, amelyet a látogató megnyit: example.com és www.example.com is, ha mindkettőt használja.

Manapság szinte minden tárhelyszolgáltató automatikusan intézi az ingyenes, önmagát megújító tanúsítványt. Ha mégis probléma van, az rendszerint azért, mert a domain egy másik szerverre mutat, vagy mert egy CAA-rekord blokkolja a kibocsátót (4.3. lecke).

Fontos tudni: a lakat ikon semmit nem mond az oldal megbízhatóságáról. Csak azt jelenti, hogy a kapcsolat titkosított, és hogy a tanúsítvány a címsorban szereplő névhez tartozik. A mijnbank-veilig.example típusú adathalász oldalaknak is éppúgy lehet lakat ikonjuk. Ezért tanulja meg a 3.2. leckében a domain nevek elolvasását.

2. réteg: mindig irányítson https-re

Önmagában a tanúsítvány nem elég. Aki megnyitja a http://example.com címet, például egy régi link miatt vagy mert csak a nevet gépelte be, azt automatikusan a https változatra kell irányítani. Ezt nevezik átirányításnak (redirect, általában 301-es státuszkóddal).

A helyes sorrend a következő:

http://example.com      ->  https://example.com
https://example.com     ->  https://www.example.com   (csak ha a www-t használja fő címként)
http://www.example.com  ->  https://www.example.com

Figyeljen az első sorra: a http-ről először ugyanarra a névre irányítson https-re, és csak utána, ha szükséges, a www-re. Így a böngésző a csupasz név HSTS-utasítását is megkaphatja. Az internet.nl pontosan ezt ellenőrzi.

Gyakori hiba a dupla átirányítás: egyszerre a tárhelypanelben és egy pluginban vagy a .htaccess fájlban. Ez végtelen hurkot okozhat ("túl sok átirányítás"). Használjon egyetlen helyet erre.

3. réteg: HSTS

Az átirányításnak van egy gyenge pontja: a legelső kérés még titkosítatlanul, http-n keresztül megy. Egy ugyanazon a hálózaton lévő támadó elfoghatja ezt az egyetlen kérést, és a látogatót egy hamisított, titkosítatlan verzión tarthatja. Erre szolgál a HSTS (HTTP Strict Transport Security, RFC 6797).

A HSTS-sel az oldala https-en keresztül egy fejlécet küld:

Strict-Transport-Security: max-age=31536000; includeSubDomains

A böngésző ekkor megjegyzi: "ezt az oldalt kizárólag https-en keresztül nyissa meg, a következő 31 536 000 másodpercig (egy évig)". Ha a látogató később beírja a http://example.com címet, a böngésző maga alakítja át https-re, még mielőtt bármi elindulna a hálózaton. A gyenge pontot jelentő első kérés így kiesik.

Három dolgot érdemes tudnia, mielőtt bekapcsolja a HSTS-t:

• Először mindenhol működnie kell a https-nek. Egy böngésző, amely megjegyezte a HSTS-t és tanúsítványhibát észlel, nem ad lehetőséget a látogatónak, hogy mégis folytassa (RFC 6797, 12.1. szakasz). Ha lejár a tanúsítványa, vagy nem megfelelő a www alcímre, az oldala elérhetetlen lesz ezeknek a látogatóknak, amíg meg nem oldja a problémát.
• Az includeSubDomains mindent érint a domain alatt. Egy régi, tanúsítvány nélküli aldomain, például egy nyomtató vagy kamera oldala a camera.example.com címen, ezután nem lesz megnyitható.
• Fokozatosan építse fel. Kezdje rövid max-age értékkel (például egy nap), ellenőrizze, hogy minden működik, majd lépésenként emelje egy évig. Minden lépésnél várja ki a teljes időszakot.

Egy sima http-n érkező HSTS-fejlécet a böngésző figyelmen kívül hagy. Ezt tehát csak a https-válaszban látja.

4. réteg: biztonsági fejlécek

A HSTS mellett van néhány fejléc, amely megmondja a böngészőnek, mit tehet és mit nem az Ön oldalaival. Nem szükséges mindegyiket tökéletesen beállítani, de az első három egyszerű és kockázatmentes.

A teljes Content-Security-Policy a leghatékonyabb, de egyben a legbonyolultabb is: egy túl szigorú szabály tönkreteheti a statisztikáit, a fizetési gombját vagy a chatablakát. A Content-Security-Policy-Report-Only változattal előre felmérheti, mi kerülne blokkolásra, anélkül, hogy bármit elrontana. Ezt bízza inkább a weboldalát készítő szakemberre, vagy kezdje csak a frame-ancestors-szal.

A fejlécek saját kezű ellenőrzése

Nyissa meg az oldalát egy böngészőben, nyomja meg az F12 billentyűt (vagy válassza a "Vizsgálat" lehetőséget), lépjen a Hálózat fülre, töltse be újra az oldalt, és kattintson az első kérésre. A "Válaszfejlécek" (Response Headers) alatt látja mindazt, amit a szerver elküld. Parancssorból is megteheti:

curl -sI https://example.com/

Maga a weboldal: CMS, pluginok és sablonok

A legjobb fejlécek sem segítenek, ha az oldal mögötti szoftver sebezhető. A kisvállalkozások feltört oldalainak többsége nem a webszerveren keresztül esett áldozatul, hanem egy elavult plugin, egy évek óta nem frissített sablon, vagy egy gyenge rendszergazdai jelszó miatt.

• Kapcsolja be az automatikus frissítéseket a CMS-éhez (például WordPress, Joomla vagy egyéb rendszer), és a pluginoknál, ahol ez lehetséges.
• Távolítsa el azokat a pluginokat és sablonokat, amelyeket nem használ; a letiltás nem elég, a fájlok ettől még megmaradnak.
• A rendszergazdai bejelentkezéshez használjon erős, egyedi jelszót és kétlépcsős azonosítást (2. modul), és korlátozza a bejelentkezési próbálkozások számát.
• Tartsa a csomagja PHP-verzióját (vagy más programnyelvi verzióját) olyan verzión, amely még kap frissítéseket (5.1. lecke).

A gyakorlatban: így néz ki

A DirectAdminben, azaz a WebOké által használt vezérlőpultban, a domainjénél először kapcsolja be a Biztonságos SSL beállítást, majd az SSL kényszerítése HTTPS-átirányítással opciót. Ugyanitt található egy kapcsoló a HSTS-hez; ezt csak akkor kapcsolja be, ha a tanúsítvány minden névre megfelelően működik. Más szolgáltatóknál hasonlóan működik, vagy a CMS beállításaiban intézheti.

Ha az oldala Apache-on vagy LiteSpeeden fut, a fejléceket a .htaccess fájlban is beállíthatja:

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Az includeSubDomains beállítást csak akkor adja hozzá, ha biztos benne, hogy minden aldomain rendelkezik https-sel. Minden módosítás után ellenőrizze az internet.nl weboldalteszttel vagy a böngészője fejlesztői eszközeivel.

Összefoglalás

• A lakat ikon azt jelenti: titkosított és a megfelelő névre érvényes. Nem azt jelenti: megbízható.
• A http-t mindig irányítsa https-re, először ugyanarra a névre, és egyetlen helyen tegye ezt meg.
• A HSTS-sel a böngésző megjegyzi, hogy az oldala csak https-en keresztül érhető el; az internet.nl legalább egyéves (31536000) max-age értéket tekint megfelelőnek. Csak akkor kapcsolja be, ha a https mindenhol működik, és fokozatosan építse fel.
• Az X-Content-Type-Options: nosniff, a frame-ancestors (vagy X-Frame-Options) és a Referrer-Policy egyszerűen beállítható; a teljes Content-Security-Policy egyedi munkát igényel.
• A CMS-e, a pluginok és a sablonok frissítése legalább olyan fontos, mint a fejlécek.

Kvíz

Feladat

A4.2 feladat: Https, HSTS és a weboldal fejlécének ellenőrzése. Adja meg weboldala domain nevét (ha nincs ilyenje, használja az internet.nl címet). A program megnyitja a domainje http:// és https:// változatát, és ellenőrzi a tanúsítványt, a https-re irányítást, a HSTS-t és a biztonsági fejléceket. Pontonként zöld, narancssárga vagy piros jelzést kap magyarázattal.

D4.2 feladat: A weboldal frissítése és rendbetétele. Jelentkezzen be weboldala kezelőfelületére, ellenőrizze a CMS, a pluginok és a sablonok verzióját, távolítsa el, amit nem használ, és kapcsolja be az automatikus frissítéseket, ahol lehetséges. Pipálja ki az ellenőrzőlistát, és válaszoljon a reflexiós kérdésre.

Bővebben olvasva

A WebOké-cikkekben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• SSL-tanúsítvány aktiválása, megújítása és a problémák megoldása
• Látogatók kötelező átirányítása https-re
• DirectAdmin útmutató 6.4: Látogatók átirányítása https-re
• DirectAdmin útmutató 6.7: Nincs lakat ikon vagy "nem biztonságos" felirat: vegyes tartalom megoldása
• DirectAdmin útmutató 15.10: Web Applikációs Tűzfal
• A WordPress wp-login.php védelme
• Internet.nl, weboldalteszt (független): https://internet.nl
• RFC 6797, HTTP Strict Transport Security: https://www.rfc-editor.org/rfc/rfc6797
• HSTS-preload lista: https://hstspreload.org
• MDN, a fejlécek magyarázata (angolul): https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security