Downgrade HTTP e rischi dei contenuti misti

L'intestazione HTTP Strict Transport Security (HSTS) indica ai browser di connettersi a un sito solo tramite HTTPS per un periodo specificato. Una volta ricevuta, il browser rifiuta le connessioni HTTP e converte automaticamente gli URL http:// in https://.

Un'intestazione HSTS tipica è: "Strict-Transport-Security: max-age=31536000; includeSubDomains; preload". max-age è espresso in secondi (31536000 = 1 anno). Una volta memorizzato nella cache, il browser impone l'uso di HTTPS per un anno senza alcun intervento del server.

Il parametro max-age stabilisce per quanto tempo il browser deve imporre connessioni esclusivamente HTTPS, in secondi. Per i siti di produzione si consigliano valori di almeno un anno (31536000).

La direttiva includeSubDomains estende l'applicazione di HSTS a tutti i sottodomini. In questo modo si impediscono gli attacchi in cui un attaccante declassa a HTTP la connessione a un sottodominio e la usa per sottrarre cookie impostati senza il flag Secure sul dominio principale.

I browser includono un elenco incorporato di domini che richiedono sempre HTTPS, anche alla prima visita. Questo elenco, gestito all'indirizzo hstspreload.org, comprende migliaia di siti web importanti.

Il precaricamento elimina la vulnerabilità della prima visita: senza precaricamento, un visitatore alla prima visita potrebbe essere intercettato prima di ricevere l'intestazione HSTS. I siti precaricati accettano solo HTTPS fin dalla prima richiesta, indipendentemente dallo stato della cache HSTS.

Lo SSL stripping, presentato da Moxie Marlinspike al Black Hat 2009, è un attacco MITM che declassa le connessioni HTTPS a HTTP. L'attaccante intercetta la richiesta HTTP iniziale dell'utente, esegue richieste HTTPS al server reale per conto dell'utente e inoltra il contenuto all'utente tramite HTTP.

La vittima visualizza normalmente il contenuto, ma tramite HTTP. Le credenziali inserite vengono inviate all'attaccante. Prima di HSTS, questo attacco era molto efficace perché gli utenti non notavano l'assenza del lucchetto.

HSTS contrasta lo SSL stripping perché il browser rifiuta di procedere con connessioni HTTP verso i domini che lo adottano. Anche se un attaccante tenta di fornire una pagina tramite HTTP, il browser si rifiuta semplicemente di connettersi e mostra un errore.

L'applicazione di HSTS da parte del browser avviene prima di qualsiasi richiesta di rete, quindi l'attaccante non può interferire. L'unica vulnerabilità residua è la prima visita, prima che HSTS venga ricevuto; il precaricamento la elimina.

Si parla di contenuto misto quando una pagina HTTPS carica risorse tramite HTTP. I contenuti misti passivi includono immagini, audio e video caricati tramite HTTP. Non possono modificare direttamente la pagina, ma possono rivelare informazioni sull'utente tramite le intestazioni HTTP e consentire il tracciamento.

I contenuti misti attivi includono script, fogli di stile, iframe e XMLHttpRequests caricati tramite HTTP. Uno script HTTP può compromettere completamente la sicurezza della pagina HTTPS perché dispone dell'accesso completo al DOM e può leggere cookie e dati dei moduli.

I browser moderni bloccano per impostazione predefinita i contenuti misti attivi (script, fogli di stile e iframe tramite HTTP) quando la pagina che li contiene è HTTPS. Viene mostrato un errore nella console e la risorsa non viene caricata.

A partire da Chrome 81 (2020), i browser hanno iniziato a convertire automaticamente in HTTPS i contenuti misti passivi. Se esiste la versione HTTPS, questa viene caricata. In caso contrario, la risorsa viene bloccata.

La console per sviluppatori del browser mostra avvisi ed errori relativi ai contenuti misti. In Chrome, apra DevTools, vada alla scheda Console e filtri per "Mixed Content". Per ogni risorsa bloccata viene mostrato l'URL non sicuro da aggiornare.

Il pannello Security di DevTools mostra una panoramica completa della sicurezza: dettagli del certificato, informazioni sulla connessione ed elenco di tutte le risorse non sicure presenti nella pagina.

La direttiva "upgrade-insecure-requests" della Content Security Policy (CSP) indica ai browser di convertire automaticamente in HTTPS tutte le richieste HTTP della pagina. In questo modo è possibile gestire contenuti legacy con URL HTTP codificati direttamente.

A differenza del blocco dei contenuti misti, upgrade-insecure-requests tenta prima di recuperare la versione HTTPS. È utile durante la migrazione da HTTP a HTTPS, quando aggiornare tutti gli URL incorporati nei contenuti legacy sarebbe poco pratico.

Senza HTTPS, gli ISP possono iniettare contenuti nelle risposte HTTP. È stato scoperto che diversi ISP iniettavano annunci pubblicitari in pagine web che ne erano prive, aggiungevano pixel di tracciamento o inserivano pagine di avviso quando gli utenti si avvicinavano al limite del proprio piano dati.

Questa forma di iniezione dei contenuti è impossibile nelle pagine HTTPS perché la risposta è autenticata e cifrata. Qualsiasi modifica farebbe fallire la verifica del MAC TLS, producendo un errore di connessione invece di fornire contenuti modificati.

Prima che un browser abbia ricevuto un'intestazione HSTS per un dominio, la primissima visita tramite HTTP è vulnerabile. Un attaccante può intercettare questa richiesta iniziale ed eseguire SSL stripping senza attivare alcun avviso del browser.

Questa vulnerabilità del trust on first use è il motivo per cui esiste l'elenco di precaricamento HSTS. Inviare un sito all'elenco di precaricamento assicura che i browser impongano HTTPS per quel dominio fin dalla prima richiesta, chiudendo completamente la finestra della prima visita.

Verifichi la propria comprensione di HTTP Strict Transport Security.

HSTS indica ai browser di imporre connessioni esclusivamente HTTPS per un dominio e per una durata specificata. L'elenco di precaricamento estende la protezione alle prime visite, memorizzando le policy HSTS direttamente nei browser.

Lo SSL stripping (Moxie Marlinspike, 2009) declassa HTTPS a HTTP; HSTS lo contrasta. I contenuti misti attivi (script HTTP su pagine HTTPS) vengono bloccati dai browser. La direttiva CSP upgrade-insecure-requests automatizza la migrazione da HTTP a HTTPS per i contenuti legacy.