Nagłówek HSTS

Nagłówek HSTS to parametr monitoringu stron internetowych, który sprawdza, czy odpowiedź serwera przesłana przez HTTPS zawiera nagłówek Strict-Transport-Security. Pomiar kończy się jednym z trzech wyników: nagłówek obecny, brak nagłówka albo nie udało się pobrać odpowiedzi. HSTS (HTTP Strict Transport Security) to mechanizm, którym witryna deklaruje, że jest dostępna wyłącznie przez bezpieczne połączenia ^[1].

Jak działa

Serwer wysyła nagłówek w odpowiedzi HTTPS. Wymagana dyrektywa max-age podaje liczbę sekund, przez które przeglądarka traktuje host jako znany host HSTS ^[1]. Opcjonalna dyrektywa includeSubDomains rozciąga politykę na wszystkie subdomeny ^[1]. Nagłówek otrzymany przez nieszyfrowane HTTP przeglądarka musi zignorować ^[1], bo inaczej atakujący w środku połączenia mógłby skrócić ważność polityki albo dodać ją hostowi bez HTTPS ^[2]. Jeśli odpowiedź zawiera kilka takich nagłówków, przetwarzany jest tylko pierwszy ^[1].

Przy kolejnej wizycie przeglądarka, zanim załaduje adres http, sprawdza nazwę domeny na liście hostów HSTS. Przy dopasowaniu, jeszcze przed wysłaniem żądania, zamienia schemat na https, a port 80 na 443 ^{[1] [2]}. W Chromium ta zamiana jest wewnętrznym przekierowaniem z kodem 307, wybranym po to, by zachować metodę żądania, np. POST ^[7]. Na znanym hoście HSTS przeglądarka musi zerwać połączenie przy każdym błędzie bezpiecznego transportu ^[1] i nie pozwala użytkownikowi ominąć ostrzeżenia o certyfikacie ^{[2] [4]}.

RYS. 1.1Pierwsza wizyta i kolejna z HSTS

Pierwsze żądanie nie jest chronione: host HSTS, który dostaje żądanie przez HTTP, powinien odpowiedzieć stałym przekierowaniem na HTTPS ^[1], ale tę odpowiedź atakujący może jeszcze przechwycić. Lukę łagodzi lista wstępnie załadowana (ang. preload list), czyli polityka HSTS wpisana do przeglądarki przez jej producenta ^[1].

RYS. 1.2Od nagłówka do listy preload

Standardy i specyfikacje

• RFC 6797 (listopad 2012) definiuje nagłówek Strict-Transport-Security oraz dyrektywy max-age i includeSubDomains. Jako zagrożenia, którym mechanizm ma przeciwdziałać, wymienia pasywnych i aktywnych atakujących w sieci oraz błędy twórców witryn ^[1]. Wartość max-age=0 oznacza polecenie, by przeglądarka przestała traktować host jako znany host HSTS ^[1]. Specyfikacja opisuje też listy wstępnie załadowane jako mechanizm konfigurowany przez producentów przeglądarek ^[1].
• Dyrektywa preload nie należy do specyfikacji HSTS ^[2]. Wymagania stawia lista prowadzona przez projekt Chromium: ważny certyfikat, przekierowanie z HTTP na HTTPS na tym samym hoście, wszystkie subdomeny po HTTPS oraz nagłówek na domenie głównej z max-age co najmniej 31536000 sekund, includeSubDomains i preload ^[3]. Dodatkowe przekierowanie wysyłane przez HTTPS też musi mieć nagłówek HSTS ^[3]. Firefox, Safari i Edge używają list opartych na liście Chrome ^[3].
• OWASP zaleca wartość max-age=63072000; includeSubDomains; preload i zastrzega, że przy błędnej konfiguracji albo problemie z certyfikatem prawowici użytkownicy mogą stracić dostęp do strony ^[5]. Ściąga OWASP o HSTS wymienia trzy zagrożenia, którym nagłówek zapobiega: ręcznie wpisany lub zapisany w zakładkach adres http, odnośniki po HTTP w aplikacji przeznaczonej dla HTTPS oraz akceptację nieprawidłowego certyfikatu ^[4].

Zagrożenia i skutki

SSL stripping. Moxie Marlinspike na konferencji Black Hat DC w 2009 roku zwrócił uwagę, że użytkownicy trafiają na HTTPS na dwa sposoby: klikając odnośnik albo przez przekierowanie 302, czyli zawsze najpierw przez HTTP ^[6]. Opisane przez niego narzędzie sslstrip obserwuje ruch HTTP, zamienia odnośniki https:// na http:// oraz nagłówki Location, a do serwera łączy się już po HTTPS ^[6]. Serwer nie widzi różnicy, a przeglądarka nie wyświetla ostrzeżeń ^[6]. Jako wynik 24 godzin działania tej techniki autor podał 117 kont poczty, 16 numerów kart płatniczych, 7 loginów PayPal i ponad 300 innych danych logowania ^[6]. Ściąga OWASP o HSTS wskazuje sslstrip jako materiał źródłowy ^[4].

Pierwsza wizyta. HSTS zaczyna działać dopiero po co najmniej jednym bezpiecznym połączeniu z hostem i odebraniu nagłówka ^[2]. RFC 6797 nazywa to podatnością bootstrap MITM: użytkownik wpisuje adres albo klika odnośnik http do hosta, którego przeglądarka jeszcze nie zna ^[1]. Wpis na liście preload tę lukę łagodzi ^[2].

Subdomeny bez HTTPS. Z includeSubDomains każda subdomena bez poprawnie skonfigurowanego bezpiecznego połączenia staje się dla przeglądarki nieosiągalna ^[1]. Bez tej dyrektywy pozostaje natomiast możliwy atak przez ciasteczka, którymi mogą manipulować subdomeny ^[4].

Trudne wycofanie. Domenę można usunąć z listy preload, ale zmiana dociera do użytkowników z aktualizacją Chrome po miesiącach ^[3]. Dlatego lista zaleca zgłoszenie dopiero wtedy, gdy cała witryna i wszystkie subdomeny mogą długoterminowo działać po HTTPS, oraz stopniowe podnoszenie max-age ^[3].

Prywatność. Zapamiętywana polityka HSTS może posłużyć do identyfikacji użytkowników bez ciasteczek ^[4]. RFC 6797 opisuje to jako możliwą formę śledzenia ^[1].

Przykłady

Nagłówek albo sytuacja	Skutek w przeglądarce
brak nagłówka	brak polityki; każde wejście przez http:// może zostać przechwycone [2] [6]
max-age=31536000; includeSubDomains	host i subdomeny tylko po HTTPS przez rok [2]
max-age=63072000; includeSubDomains; preload	spełnia wymagania listy preload [3]
max-age=300, potem 604800, potem 2592000 (z includeSubDomains)	etapowe wdrożenie: 5 minut, tydzień, miesiąc [3]
max-age=0	przeglądarka przestaje traktować host jako znany host HSTS [1]
nagłówek wysłany po HTTP	ignorowany [1]
includeSubDomains, subdomena bez HTTPS	subdomena nieosiągalna [1]
błąd certyfikatu na znanym hoście HSTS	połączenie zerwane, bez możliwości obejścia [1] [2]