【実務実践】ウェブサイトセキュリティ強化のためのHSTSプロトコル

クズども · 掲載地 2022/09/17 20:55:30

HSTSの紹介

HSTSはHTTP Strict-Transport-Securityの略で、ウェブセキュリティポリシーのメカニズムです。
HSTSは2015年にThoughtWorksテクノロジーレーダーに初めて含まれ、2016年の最新号では「試験段階」から「採用」段階へと直接移行しました。これはThoughtWorksが業界がこのセキュリティ防衛策を積極的に採用することを強く支持し、自社プロジェクトにも適用していることを示しています。
HSTSの中核はHTTP応答ヘッダーです。これは、現在のドメイン名が次の期間HTTPS経由でしかアクセスできないことをブラウザに知らせ、もし現在の接続が安全でないと判断した場合、ユーザーの次のアクセスリクエストを強制的に拒否します。

HSTSポリシーを持つウェブサイトは、ブラウザが常にHTTPS暗号化されたバージョンに接続されていることを保証し、ユーザーがURLアドレスバーに暗号化アドレスを手動で入力する必要がなくなり、セッションハイジャックのリスクを減らします。

HTTPS(SSLおよびTLS)はユーザーとウェブサイトの安全な通信を確保し、攻撃者が傍受、改変、なりすましを困難にします。ユーザーが手動でドメイン名を入力するか、リンク http:// 入力してくださいウェブサイトの最初のリクエストは暗号化されていません、プレーン http を使い、最も安全なウェブサイトは、すぐにリダイレクトを送り返し、ユーザーをhttps接続へ誘導しますが、中間者攻撃者は、最初のHTTPリクエストを傍受し、ユーザーのその後の返信を制御しようと攻撃することがあります。

HSTSの原則

HSTSは主にサーバーからレスポンスヘッダーを送信することでブラウザの操作を制御します:
クライアントがHTTPS上でリクエストを行った際、サーバーは返すHTTP応答ヘッダーにStrict-Transport-Securityフィールドを含めます。
ブラウザがそのような情報を受け取った後、一定期間内にサイトへのリクエストはHTTPSで開始されますHTTPによって開始されたサーバーからHTTPSにリダイレクトされることなく、

HSTS応答ヘッダーフォーマット

ログインが見えます。

パラメータの説明:

max-age(秒単位):ブラウザに対して、指定された時間内にHTTPSプロトコル経由でアクセスしなければならないことを伝えるために使われます。つまり、このウェブサイトのHTTPアドレスについては、リクエストを送信する前にローカルでHTTPSに置き換える必要があります。
includeSubDomains(任意):このパラメータが指定されている場合、サイトのすべてのサブドメインもHTTPSプロトコル経由でアクセスしなければならないことを示します。
preload:ブラウザに組み込まれたHTTPSを使用しているドメイン名のリストです。

HSTSプリロードリスト

HSTSはHTTPS劣化攻撃に対する良い解決策ですが、HSTSに関してはまだ最初のHTTPリクエストが発効する前に避けられないハイジャック。この問題を解決するために、ブラウザメーカーはHSTSプリロードリストソリューションを提案しています。 (省略)

IISの構成

設定前に、以下のウェブサイトをご覧ください。

これをIIS7+で実装するには、web.configにHSTSのCustomHeader要件を追加するだけで、次のように設定されます。

ログインが見えます。

修正後、以下のようにウェブサイトを再訪してください:

Nginx構成

ウェブサイトがnginxリバースプロキシを使用している場合、nginxを直接設定して実装することも可能です。以下のように:

ログインが見えます。

Chrome表示ルール

現在のHSTSルールを見るには、Google Chrome Chromeで入力してくださいchrome://net-internals/#hsts下の図のように車に乗り込むと、

参考

HTTP厳格トランスポートセキュリティ:ハイパーリンクのログインが見えます。

(終わり)

トビウオ · 掲載地 2022/09/19 20:13:41

覚えてみろ

秋月明 · 掲載地 2023/11/10 16:11:19

学ぶために

【実務実践】ウェブサイトセキュリティ強化のためのHSTSプロトコル

関連記事

閲覧したセクション