Jūsų svetainė: https, HSTS ir saugumo antraštės

4 modulis: El. paštas, svetainė ir domenas · Skaitymo trukmė: 11 min.

Tikslas: Po šios pamokos galėsite patikrinti savo svetainės pagrindinę apsaugą: galiojantį sertifikatą, peradresavimą į https, HSTS su tinkama max-age reikšme, svarbiausias saugumo antraštes ir savo CMS atnaujinimą.
Pagrindinės sąvokos: TLS sertifikatas, https, peradresavimas į https, HSTS, max-age, includeSubDomains, preload, HTTP antraštė, Content-Security-Policy, X-Content-Type-Options, frame-ancestors, X-Frame-Options, Referrer-Policy

Kas nutinka, kai kas nors atveria Jūsų svetainę

Jei klientas adreso juostoje įveda example.com, naršyklė iš Jūsų žiniatinklio serverio paprašo puslapio. Šis dialogas vyksta per HTTP. Naudojant https, aplink jį yra šifruotas ryšys: TLS. Tam Jūsų svetainei reikalingas TLS sertifikatas (dažnai dar vadinamas SSL sertifikatu). Sertifikatas įrodo, kad serveris iš tikrųjų priklauso example.com, o šifravimas užtikrina, kad niekas kelyje negalėtų nuskaityti ar pakeisti duomenų. Tai svarbu viešajame Wi-Fi tinkle, kur nežinote, kas valdo tinklą (3 pamoka).

Kiekvieną kartą atsakydamas, serveris kartu su pačiu puslapiu siunčia ir eilę antraščių (headers): trumpas eilutes su informacija ir instrukcijomis naršyklei. Jų nematote ekrane, tačiau jos didžia dalimi lemia, kaip saugiai naršyklė elgiasi su Jūsų svetaine. Dalis šių antraščių yra saugumo antraštės. Šioje pamokoje aptarsime keturis lygmenis: sertifikatą, peradresavimą, HSTS ir antraštes. Po to trumpai pažvelgsime į pačios svetainės atnaujinimą.

1 lygmuo: galiojantis sertifikatas

Sertifikatas yra tvarkoje, jei atitinka tris sąlygas:

1. jis nėra pasibaigęs;
2. jis išduotas patikimo išdavėjo (sertifikavimo institucijos, kurią pripažįsta naršyklės, pvz., Let's Encrypt arba komercinė įmonė);
3. jis galioja tiksliai tam pačiam vardui, kurį atveria lankytojas: example.com IR www.example.com, jei naudojate abu.

Beveik kiekvienas talpinimo paslaugų teikėjas šiandien automatiškai sutvarko nemokamą sertifikatą, kuris pats atsinaujina. Jei kažkas sugenda, dažniausiai priežastis yra ta, kad domeno vardas nukreipia į kitą serverį, arba CAA įrašas blokuoja išdavėją (4.3 pamoka).

Svarbu žinoti: spynelės ženklas nieko nesako apie svetainės patikimumą. Jis parodo tik tai, kad ryšys yra šifruotas ir kad sertifikatas priklauso adreso juostoje nurodytam vardui. Sukčiavimo svetainės domene mijnbank-veilig.example taip pat gali turėti spynelę. Todėl 3.2 pamokoje mokomasi, kaip skaityti domeną.

2 lygmuo: visada peradresuoti į https

Vien sertifikato nepakanka. Kas atveria http://example.com, pavyzdžiui, per seną nuorodą ar tiesiog įvedęs vardą, turi būti automatiškai nukreiptas į https versiją. Tai vadinama peradresavimu (redirect, dažniausiai su būsenos kodu 301).

Tvarkinga tvarka yra tokia:

http://example.com      ->  https://example.com
https://example.com     ->  https://www.example.com   (tik jei www naudojate kaip pagrindinį adresą)
http://www.example.com  ->  https://www.example.com

Atkreipkite dėmesį į pirmą eilutę: iš http pirmiausia nukreipkite į https tuo pačiu vardu, tik vėliau, jei reikia, į www. Taip naršyklė gali gauti ir plikojo vardo HSTS instrukciją. Internet.nl tiksliai tai ir patikrina.

Dažna klaida yra dvigubas peradresavimas: talpinimo valdymo skydelyje IR papildinyje ar .htaccess faile. Tai gali sukelti begalinę kilpą (klaida „per daug peradresavimų“). Naudokite tik vieną vietą.

3 lygmuo: HSTS

Peradresavimas turi silpną momentą: pats pirmasis užklausimas dar vyksta nešifruotai per http. Užpuolikas tame pačiame tinkle gali perimti tą vieną užklausą ir išlaikyti lankytoją suklastotoje, nešifruotoje versijoje. Tam skirtas HSTS (HTTP Strict Transport Security, RFC 6797).

Naudodama HSTS, Jūsų svetainė per https kartu siunčia antraštę:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Naršyklė tuomet įsimena: „šią svetainę atverti tik per https, dar 31 536 000 sekundžių (vienus metus)“. Jei lankytojas vėliau įveda http://example.com, naršyklė pati paverčia tai į https, dar prieš siunčiant bet ką per tinklą. Silpnas pirmasis užklausimas atkrenta.

Trys dalykai, kuriuos reikia žinoti prieš įjungiant HSTS:

• Pirmiausia https turi veikti visur. Naršyklė, kuri įsiminė HSTS ir aptinka sertifikato klaidą, lankytojui nesuteikia mygtuko vis tiek tęsti (RFC 6797, 12.1 skirsnis). Jei Jūsų sertifikatas baigiasi arba netinka www versijai, svetainė tiems lankytojams tampa nepasiekiama, kol problema neišspręsta.
• includeSubDomains paveikia viską po Jūsų domenu. Senas subdomenas be sertifikato, pavyzdžiui, spausdintuvo ar kameros puslapis camera.example.com, po to nebebus pasiekiamas.
• Diekite palaipsniui. Pradėkite nuo trumpos max-age reikšmės (pvz., vienos dienos), patikrinkite, ar viskas veikia, ir didinkite žingsniais iki vienerių metų. Kiekviename žingsnyje palaukite visą laikotarpį.

HSTS antraštę, gautą per paprastą http, naršyklė ignoruoja. Todėl ją matysite tik https atsakyme.

4 lygmuo: saugumo antraštės

Be HSTS, yra ir keletas antraščių, kurios naršyklei nurodo, ką galima ir ko negalima daryti su Jūsų puslapiais. Nebūtina visų jų turėti tobulai sutvarkytų, tačiau pirmosios trys yra paprastos ir be jokios rizikos.

Pilna Content-Security-Policy yra galingiausia, bet ir sudėtingiausia: per griežta taisyklė gali sugadinti Jūsų statistikos įrankius, mokėjimo mygtuką ar pokalbių langą. Su variantu Content-Security-Policy-Report-Only galite iš pradžių išmatuoti, kas būtų užblokuota, nieko nesugadinant. Patikėkite šį darbą savo svetainės kūrėjui arba pradėkite vien nuo frame-ancestors.

Pačios antraštės peržiūra

Atverkite savo svetainę naršyklėje, paspauskite F12 (arba pasirinkite „Tirti elementą“), eikite į skirtuką Tinklas (Network), iš naujo įkelkite puslapį ir spustelėkite pirmąją užklausą. Po antrašte „Atsakymo antraštės“ (Response Headers) matysite viską, ką siunčia serveris. Tai galima padaryti ir komandų eilutėje:

curl -sI https://example.com/

Pati svetainė: CMS, papildiniai ir šablonai

Net geriausios antraštės nepadės, jei programinė įranga, kuria remiasi Jūsų svetainė, yra pažeidžiama. Dauguma nulaužtų mažų įmonių svetainių buvo pažeistos ne per žiniatinklio serverį, o per pasenusį papildinį, šabloną, kuris jau metų metus nebeatnaujinamas, arba silpną administratoriaus slaptažodį.

• Įjunkite automatinius atnaujinimus savo CMS (pvz., WordPress, Joomla ar kitai sistemai) ir papildiniams, kur tai įmanoma.
• Pašalinkite papildinius ir šablonus, kurių nenaudojate; vien išjungimo nepakanka, failai tebėra svetainėje.
• Administratoriaus prisijungimui naudokite stiprų, unikalų slaptažodį ir dviejų veiksnių autentifikavimą (2 modulis), bei apribokite prisijungimo bandymų skaičių.
• Laikykite savo paketo PHP versiją (ar kitą kalbą) tokią, kuri dar gauna atnaujinimus (5.1 pamoka).

Praktikoje: taip tai atrodo

DirectAdmin, valdymo skydelyje, kurį naudoja WebOké, prie savo domeno pirmiausia įjunkite Saugus SSL, o po to Įjungti automatinį peradresavimą į HTTPS. Toje pačioje vietoje yra ir HSTS perjungiklis; įjunkite jį tik tuomet, kai sertifikatas veikia visiems vardams. Pas kitus paslaugų teikėjus tai veikia panašiai, arba tai sutvarkote savo CMS nustatymuose.

Jei Jūsų svetainė veikia su Apache arba LiteSpeed, antraštes galite nustatyti ir .htaccess faile:

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

includeSubDomains pridėkite tik tada, kai esate tikri, kad kiekvienas subdomenas turi https. Po kiekvieno pakeitimo patikrinkite su internet.nl svetainės testu arba su savo naršyklės kūrėjo įrankiais.

Santrauka

• Spynelė reiškia: šifruota ir tinkamas vardas. Ji nereiškia: patikima.
• Visada peradresuokite http į https, pirmiausia tuo pačiu vardu, ir tik vienoje vietoje.
• HSTS verčia naršyklę įsiminti, kad Jūsų svetainė veikia tik per https; internet.nl laiko gera reikšme max-age bent vienus metus (31536000). Įjunkite tik tada, kai https veikia visur, ir diekite palaipsniui.
• X-Content-Type-Options: nosniff, frame-ancestors (arba X-Frame-Options) ir Referrer-Policy yra paprastos; pilna Content-Security-Policy reikalauja individualaus pritaikymo.
• Jūsų CMS, papildinių ir šablonų atnaujinimai yra bent tiek pat svarbūs, kiek antraštės.

Testas (quiz)

Užduotis

Užduotis A4.2: Https, HSTS ir Jūsų svetainės antraščių patikra. Įveskite savo svetainės domeno vardą (jei jo neturite, naudokite internet.nl). Programa atveria http:// ir https:// Jūsų domeno versijas ir patikrina sertifikatą, peradresavimą į https, HSTS ir saugumo antraštes. Už kiekvieną punktą gausite žalią, oranžinę arba raudoną spalvą su paaiškinimu.

Užduotis D4.2: Svetainės atnaujinimas ir sutvarkymas. Prisijunkite prie savo svetainės valdymo, patikrinkite savo CMS, papildinių ir šablonų versiją, pašalinkite tai, ko nenaudojate, ir įjunkite automatinius atnaujinimus, kur tai įmanoma. Pažymėkite kontrolinį sąrašą ir atsakykite į refleksijos klausimą.

Skaitykite daugiau

Veiksmai WebOké žinynų straipsniuose galioja WebOké aplinkai; pas kitus paslaugų teikėjus tai veikia panašiai.

• SSL sertifikato aktyvinimas, atnaujinimas ir trikčių šalinimas
• Privalomas lankytojų nukreipimas į https
• DirectAdmin vadovas 6.4: Lankytojus visada nukreipti į https
• DirectAdmin vadovas 6.7: Nėra spynelės arba rodoma "nesaugu": mišraus turinio problemos sprendimas
• DirectAdmin vadovas 15.10: Web aplikacijų ugniasienė
• WordPress wp-login.php apsauga
• Internet.nl, svetainės testas (nepriklausomas): https://internet.nl
• RFC 6797, HTTP Strict Transport Security: https://www.rfc-editor.org/rfc/rfc6797
• HSTS preload sąrašas: https://hstspreload.org
• MDN, antraščių paaiškinimas (anglų k.): https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security