HTTP डाउनग्रेड और मिश्रित सामग्री के जोखिम

HTTP की सख्त परिवहन सुरक्षा (HSTS) हेडर ब्राउज़र को निर्देश देता है कि वह निर्धारित अवधि तक किसी साइट से केवल HTTPS के माध्यम से जुड़े। हेडर प्राप्त होने के बाद ब्राउज़र HTTP कनेक्शनों को अस्वीकार कर देता है और http:// URL को स्वचालित रूप से https:// में बदल देता है।

एक सामान्य HSTS हेडर है: "Strict-Transport-Security: max-age=31536000; includeSubDomains; preload"। max-age सेकंड में होता है (31536000 = 1 वर्ष)। कैश में रखे जाने के बाद ब्राउज़र सर्वर की किसी भागीदारी के बिना एक वर्ष तक HTTPS लागू करता है।

max-age पैरामीटर यह निर्धारित करता है कि ब्राउज़र कितनी देर तक, सेकंडों में, केवल HTTPS कनेक्शन लागू करे। उत्पादन वेबसाइटों के लिए कम से कम एक वर्ष (31536000) का मान सुझाया जाता है।

includeSubDomains निर्देश HSTS के प्रवर्तन को सभी उपडोमेनों तक बढ़ाता है। इससे ऐसे आक्रमण रुकते हैं जिनमें हमलावर किसी उपडोमेन के कनेक्शन को HTTP पर ले आता है और मुख्य डोमेन पर Secure फ़्लैग के बिना सेट की गई कुकीज़ चुरा लेता है।

ब्राउज़र ऐसे डोमेनों की एक हार्डकोड की गई सूची के साथ आते हैं जिनसे पहली बार जाने पर भी केवल HTTPS के माध्यम से जुड़ा जा सकता है। hstspreload.org पर अनुरक्षित इस सूची में हजारों प्रमुख वेबसाइटें शामिल हैं।

प्रीलोडिंग पहली बार जाने की भेद्यता को समाप्त करती है: इसके बिना, पहली बार आने वाले उपयोगकर्ता को HSTS हेडर मिलने से पहले रोका जा सकता था। प्रीलोड की गई साइटों पर HSTS कैश की स्थिति चाहे जो हो, पहली ही अनुरोध से केवल HTTPS लागू रहता है।

SSL स्ट्रिपिंग, जिसे Moxie Marlinspike ने Black Hat 2009 में प्रकाशित किया था, एक MITM आक्रमण है जो HTTPS कनेक्शनों को HTTP में बदल देता है। हमलावर उपयोगकर्ता के शुरुआती HTTP अनुरोध को रोकता है, उपयोगकर्ता की ओर से वास्तविक सर्वर को HTTPS अनुरोध भेजता है और सामग्री को HTTP के माध्यम से उपयोगकर्ता तक पहुँचाता है।

पीड़ित को सामग्री सामान्य रूप से दिखाई देती है, लेकिन HTTP के माध्यम से। दर्ज किए गए सभी प्रमाणीकरण विवरण हमलावर तक पहुँचते हैं। HSTS से पहले यह आक्रमण बहुत प्रभावी था, क्योंकि उपयोगकर्ता ताले का चिह्न न होने पर ध्यान नहीं देते थे।

HSTS SSL स्ट्रिपिंग को विफल करता है, क्योंकि ब्राउज़र HSTS में पंजीकृत डोमेनों से HTTP कनेक्शन जारी रखने से इनकार कर देता है। हमलावर HTTP के माध्यम से पृष्ठ दिखाने की कोशिश करे तब भी ब्राउज़र जुड़ने से साफ़ इनकार कर देता है और एक त्रुटि दिखाता है।

ब्राउज़र का HSTS प्रवर्तन किसी भी नेटवर्क अनुरोध से पहले होता है, इसलिए हमलावर हस्तक्षेप नहीं कर सकता। एकमात्र बची हुई भेद्यता HSTS प्राप्त होने से पहले की पहली यात्रा है, जिसे प्रीलोडिंग समाप्त कर देती है।

मिश्रित सामग्री तब होती है जब कोई HTTPS पृष्ठ HTTP के माध्यम से संसाधन लोड करता है। निष्क्रिय मिश्रित सामग्री में HTTP के माध्यम से लोड की गई छवियाँ, ऑडियो और वीडियो शामिल होते हैं। ये सीधे पृष्ठ को बदल नहीं सकते, लेकिन HTTP हेडरों के माध्यम से उपयोगकर्ता की जानकारी उजागर कर सकते हैं और निगरानी की अनुमति दे सकते हैं।

सक्रिय मिश्रित सामग्री में HTTP के माध्यम से लोड की गई स्क्रिप्ट, स्टाइलशीट, आईफ़्रेम और XMLHttpRequests शामिल होते हैं। HTTP स्क्रिप्ट HTTPS पृष्ठ की सुरक्षा को पूरी तरह भंग कर सकती है, क्योंकि उसे DOM तक पूरा पहुँच प्राप्त होता है और वह कुकीज़ तथा फ़ॉर्म डेटा पढ़ सकती है।

जब आवरण पृष्ठ HTTPS पर हो, तब आधुनिक ब्राउज़र सक्रिय मिश्रित सामग्री (HTTP पर मौजूद स्क्रिप्ट, स्टाइलशीट और आईफ़्रेम) को डिफ़ॉल्ट रूप से अवरुद्ध कर देते हैं। कंसोल में एक त्रुटि दिखाई जाती है और संसाधन लोड नहीं किया जाता।

Chrome 81 (2020) से ब्राउज़र निष्क्रिय मिश्रित सामग्री को HTTPS में स्वचालित रूप से बदलने लगे। यदि HTTPS संस्करण मौजूद है, तो उसे लोड किया जाता है। यदि वह मौजूद नहीं है, तो संसाधन अवरुद्ध कर दिया जाता है।

ब्राउज़र का डेवलपर कंसोल मिश्रित सामग्री की चेतावनियाँ और त्रुटियाँ दिखाता है। Chrome में DevTools खोलें, Console टैब पर जाएँ और "Mixed Content" के अनुसार फ़िल्टर करें। प्रत्येक अवरुद्ध संसाधन वह असुरक्षित URL दिखाता है जिसे अपडेट करने की आवश्यकता है।

DevTools का सुरक्षा पैनल व्यापक सुरक्षा अवलोकन दिखाता है: प्रमाणपत्र का विवरण, कनेक्शन की जानकारी और पृष्ठ पर मौजूद सभी असुरक्षित संसाधनों की सूची।

सामग्री सुरक्षा नीति (CSP) का "upgrade-insecure-requests" निर्देश ब्राउज़र को पृष्ठ से किए गए सभी HTTP अनुरोधों को स्वचालित रूप से HTTPS में बदलने का निर्देश देता है। इससे पुराने कंटेंट में मौजूद हार्डकोड किए गए HTTP URL संभाले जा सकते हैं।

मिश्रित सामग्री को अवरुद्ध करने के विपरीत, upgrade-insecure-requests पहले HTTPS संस्करण लाने का प्रयास करता है। HTTP से HTTPS में स्थानांतरण के दौरान यह उपयोगी है, जब पुराने कंटेंट में शामिल सभी URL अपडेट करना व्यावहारिक न हो।

HTTPS के बिना ISP, HTTP प्रतिक्रियाओं में सामग्री डाल सकते हैं। कई ISP ऐसे वेब पृष्ठों में विज्ञापन डालते हुए पकड़े गए हैं जिनमें पहले विज्ञापन नहीं थे; वे निगरानी पिक्सेल भी जोड़ सकते हैं या उपयोगकर्ताओं के डेटा की सीमा के पास पहुँचने पर चेतावनी वाले पृष्ठ डाल सकते हैं।

HTTPS पृष्ठों पर इस तरह की सामग्री प्रविष्टि असंभव है, क्योंकि प्रतिक्रिया प्रमाणित और कूटबद्ध होती है। किसी भी बदलाव से TLS MAC सत्यापन विफल हो जाएगा और बदली हुई सामग्री दिखाने के बजाय कनेक्शन में त्रुटि उत्पन्न होगी।

किसी डोमेन का HSTS हेडर देखने से पहले ब्राउज़र की HTTP पर पहली यात्रा अत्यंत असुरक्षित होती है। हमलावर इस शुरुआती अनुरोध को रोककर ब्राउज़र की कोई चेतावनी दिखाए बिना SSL स्ट्रिपिंग कर सकता है।

यह "पहली बार उपयोग पर भरोसा" वाली भेद्यता ही HSTS प्रीलोड सूची के अस्तित्व का कारण है। किसी साइट को प्रीलोड सूची में भेजने से ब्राउज़र पहली ही अनुरोध से उस डोमेन पर HTTPS लागू करते हैं और पहली यात्रा की अवधि पूरी तरह समाप्त हो जाती है।

HSTS ब्राउज़र को निर्धारित अवधि तक किसी डोमेन के लिए केवल HTTPS कनेक्शन लागू करने का निर्देश देता है। प्रीलोड सूची ब्राउज़र में HSTS नीतियों को हार्डकोड करके पहली बार की यात्राओं तक सुरक्षा बढ़ाती है।

SSL स्ट्रिपिंग (Moxie Marlinspike, 2009) HTTPS को HTTP में बदल देती है; HSTS इसे विफल करता है। सक्रिय मिश्रित सामग्री (HTTPS पृष्ठों पर HTTP स्क्रिप्ट) को ब्राउज़र अवरुद्ध कर देते हैं। upgrade-insecure-requests CSP निर्देश पुराने कंटेंट को HTTP से HTTPS में स्थानांतरित करने की प्रक्रिया को स्वचालित करता है।