مخاطر خفض مستوى HTTP والمحتوى المختلط

توجّه ترويسة HTTP Strict Transport Security (HSTS) المتصفحات إلى الاتصال بموقع ما عبر HTTPS فقط خلال فترة محددة. بعد استلامها، يرفض المتصفح اتصالات HTTP ويحوّل عناوين URL التي تبدأ بـ http:// تلقائيًا إلى https://.

ترويسة HSTS نموذجية: "Strict-Transport-Security: max-age=31536000; includeSubDomains; preload". وتُقاس قيمة max-age بالثواني (31536000 = سنة واحدة). بعد تخزينها مؤقتًا، يفرض المتصفح استخدام HTTPS لمدة سنة من دون أي تدخل من الخادم.

تحدد معلمة max-age المدة التي ينبغي للمتصفح خلالها فرض الاتصالات عبر HTTPS فقط، وتُقاس هذه المدة بالثواني. والقيم الموصى بها لمواقع الإنتاج هي سنة واحدة على الأقل (31536000).

يوسّع التوجيه includeSubDomains نطاق فرض HSTS ليشمل جميع النطاقات الفرعية. ويمنع ذلك الهجمات التي يخفض فيها المهاجم اتصال نطاق فرعي إلى HTTP، ثم يستخدمه لسرقة ملفات تعريف الارتباط التي ضُبطت من دون العلامة Secure في النطاق الرئيسي.

تأتي المتصفحات مزودة بقائمة مضمّنة ثابتًا من النطاقات التي لا تسمح إلا باستخدام HTTPS، حتى في الزيارة الأولى على الإطلاق. وتضم هذه القائمة، التي تُدار في hstspreload.org، آلاف المواقع الكبرى.

يلغي التحميل المسبق ثغرة الزيارة الأولى: فمن دونه، يمكن اعتراض الزائر الذي يدخل الموقع للمرة الأولى قبل استلام ترويسة HSTS. وتكون المواقع المحمّلة مسبقًا مقتصرة على HTTPS منذ الطلب الأول، بصرف النظر عن حالة ذاكرة HSTS المؤقتة.

تجريد SSL، الذي نشره Moxie Marlinspike في Black Hat 2009، هو هجوم MITM يخفض اتصالات HTTPS إلى HTTP. يعترض المهاجم طلب HTTP الأولي للمستخدم، ويرسل طلبات HTTPS إلى الخادم الحقيقي نيابةً عن المستخدم، ثم يعيد المحتوى إلى المستخدم عبر HTTP.

يرى الضحية المحتوى بشكل طبيعي، لكنه يصل إليه عبر HTTP. وتصل أي بيانات اعتماد يُدخلها إلى المهاجم. وقبل ظهور HSTS، كان هذا الهجوم فعالًا للغاية لأن المستخدمين لم يلاحظوا غياب رمز القفل.

يقضي HSTS على تجريد SSL لأن المتصفح يرفض متابعة اتصالات HTTP مع النطاقات المسجّلة في HSTS. وحتى إذا حاول مهاجم تقديم صفحة عبر HTTP، يرفض المتصفح الاتصال ببساطة ويعرض خطأً.

يحدث فرض HSTS في المتصفح قبل إجراء أي طلب شبكي، ولذلك لا يستطيع المهاجم التدخل. وتبقى الثغرة الوحيدة هي الزيارة الأولى قبل استلام HSTS، وهو ما يلغيها التحميل المسبق.

يحدث المحتوى المختلط عندما تحمّل صفحة HTTPS موارد عبر HTTP. ويشمل المحتوى المختلط السلبي الصور والصوت والفيديو المحمّلة عبر HTTP. ولا يمكن لهذه الموارد تعديل الصفحة مباشرة، لكنها قد تكشف معلومات عن المستخدم عبر ترويسات HTTP وتتيح التتبع.

يشمل المحتوى المختلط النشط البرامج النصية وأوراق الأنماط وإطارات iframe وطلبات XMLHttpRequests المحمّلة عبر HTTP. ويمكن لبرنامج نصي عبر HTTP أن يعرّض أمان صفحة HTTPS للخطر بالكامل، لأنه يملك وصولًا كاملًا إلى DOM ويمكنه قراءة ملفات تعريف الارتباط وبيانات النماذج.

تحظر المتصفحات الحديثة المحتوى المختلط النشط (البرامج النصية وأوراق الأنماط وإطارات iframe عبر HTTP) افتراضيًا عندما تكون الصفحة الحاوية عبر HTTPS. ويظهر خطأ في وحدة التحكم، ولا يُحمّل المورد.

بدءًا من Chrome 81 (2020)، بدأت المتصفحات بترقية المحتوى المختلط السلبي تلقائيًا إلى HTTPS. فإذا وُجد إصدار HTTPS، يُحمّل. وإذا لم يوجد، يُحظر المورد.

تعرض وحدة تحكم المطوّر في المتصفح تحذيرات وأخطاء المحتوى المختلط. في Chrome، افتحوا DevTools، وانتقلوا إلى علامة تبويب Console، ثم صفّوا النتائج باستخدام "Mixed Content". ويعرض كل مورد محظور عنوان URL غير الآمن الذي يلزم تحديثه.

تعرض لوحة Security في DevTools نظرة شاملة على الأمان: تفاصيل الشهادة، ومعلومات الاتصال، وقائمة بجميع الموارد غير الآمنة في الصفحة.

يوجّه توجيه Content Security Policy (CSP) ‏"upgrade-insecure-requests" المتصفحات إلى ترقية جميع طلبات HTTP الصادرة من الصفحة تلقائيًا إلى HTTPS. ويتولى ذلك معالجة المحتوى القديم الذي يحتوي على عناوين HTTP مضمنة بشكل ثابت.

بخلاف حظر المحتوى المختلط، يحاول upgrade-insecure-requests جلب إصدار HTTPS أولًا. ويكون مفيدًا أثناء الانتقال من HTTP إلى HTTPS عندما يكون تحديث جميع عناوين URL المضمّنة في المحتوى القديم أمرًا غير عملي.

من دون HTTPS، يستطيع مزودو خدمة الإنترنت حقن محتوى في استجابات HTTP. وقد ضُبط عدة مزودي خدمة إنترنت وهم يحقنون إعلانات في صفحات ويب لم تكن تحتوي على إعلانات، أو يضيفون بكسلات للتتبع، أو يحقنون صفحات تحذير عندما يقترب المستخدمون من بلوغ حد البيانات لديهم.

يستحيل هذا النوع من حقن المحتوى في صفحات HTTPS لأن الاستجابة موثّقة ومشفّرة. فأي تعديل سيؤدي إلى فشل التحقق من TLS MAC، وينتج عنه خطأ في الاتصال بدلًا من عرض محتوى معدّل.

قبل أن يرى المتصفح ترويسة HSTS لنطاق ما، تكون الزيارة الأولى عبر HTTP عرضة للخطر. إذ يستطيع المهاجم اعتراض هذا الطلب الأولي وتنفيذ تجريد SSL من دون ظهور أي تحذيرات من المتصفح.

تُفسّر ثغرة "الثقة عند أول استخدام" سبب وجود قائمة التحميل المسبق لـ HSTS. ويضمن إرسال الموقع إلى قائمة التحميل المسبق أن تفرض المتصفحات استخدام HTTPS لهذا النطاق منذ الطلب الأول، مما يغلق نافذة الزيارة الأولى بالكامل.

اختبروا مدى فهمكم لأمان النقل الصارم عبر HTTP.

يوجّه HSTS المتصفحات إلى فرض اتصالات عبر HTTPS فقط لنطاق ما خلال مدة محددة. وتمتد الحماية إلى الزيارات الأولى على الإطلاق بفضل قائمة التحميل المسبق، التي تضع سياسات HSTS بشكل ثابت في المتصفحات.

يخفض تجريد SSL (Moxie Marlinspike، 2009) اتصالات HTTPS إلى HTTP، ويقضي HSTS عليه. وتحظر المتصفحات المحتوى المختلط النشط (البرامج النصية عبر HTTP في صفحات HTTPS). ويؤتمت توجيه CSP ‏upgrade-insecure-requests الانتقال من HTTP إلى HTTPS للمحتوى القديم.