Понижение протокола HTTP и риски смешанного содержимого

Заголовок HTTP Strict Transport Security (HSTS) instructs browsers to connect to a site only over HTTPS for a specified period. После его получения браузер отклоняет HTTP-соединения и автоматически заменяет URL-адреса http:// на https://.

Типичный заголовок HSTS: "Strict-Transport-Security: max-age=31536000; includeSubDomains; preload". Значение max-age указывается в секундах (31536000 = 1 год). После сохранения в кэше браузер принудительно использует HTTPS в течение года без какого-либо участия сервера.

Параметр max-age задаёт, как долго браузер должен принудительно использовать только HTTPS-соединения, в секундах. Для рабочих сайтов рекомендуется устанавливать значение не менее одного года (31536000).

Директива includeSubDomains распространяет действие HSTS на все поддомены. Это предотвращает атаки, при которых злоумышленник понижает соединение с поддоменом до HTTP и использует его для кражи файлов cookie, установленных без флага Secure в основном домене.

Браузеры поставляются со встроенным списком доменов, для которых всегда используется только HTTPS, даже при самом первом посещении. Этот список поддерживается на сайте hstspreload.org и включает тысячи крупных сайтов.

Предварительная загрузка устраняет уязвимость первого посещения: без неё злоумышленник может перехватить пользователя до получения заголовка HSTS. Для сайтов из списка HTTPS используется уже с самого первого запроса, независимо от состояния кэша HSTS.

Атака с понижением SSL, представленная Moxie Marlinspike на конференции Black Hat в 2009 году, — это атака MITM, понижающая HTTPS-соединения до HTTP. Злоумышленник перехватывает первоначальный HTTP-запрос пользователя, отправляет запросы HTTPS настоящему серверу от имени пользователя и пересылает содержимое пользователю по HTTP.

Жертва видит содержимое как обычно, но через HTTP. Любые введённые учётные данные попадают к злоумышленнику. До появления HSTS эта атака была очень эффективной, поскольку пользователи не замечали отсутствия значка замка.

HSTS предотвращает понижение SSL, поскольку браузер отказывается устанавливать HTTP-соединения с доменами, включёнными в HSTS. Даже если злоумышленник попытается предоставить страницу по HTTP, браузер просто откажется подключаться и покажет ошибку.

Браузер применяет HSTS до выполнения любого сетевого запроса, поэтому злоумышленник не может вмешаться. Единственная сохраняющаяся уязвимость — первое посещение до получения HSTS; предварительная загрузка устраняет и её.

Смешанное содержимое возникает, когда страница HTTPS загружает ресурсы по HTTP. Пассивное смешанное содержимое включает изображения, аудио и видео, загруженные по HTTP. Оно не может напрямую изменить страницу, но может раскрывать информацию о пользователе через заголовки HTTP и обеспечивать отслеживание.

Активное смешанное содержимое включает скрипты, таблицы стилей, фреймы и XMLHttpRequests, загруженные по HTTP. Скрипт HTTP может полностью нарушить безопасность страницы HTTPS, поскольку получает полный доступ к DOM и может читать файлы cookie и данные форм.

Современные браузеры по умолчанию блокируют активное смешанное содержимое (скрипты, таблицы стилей и фреймы по HTTP), если содержащая его страница использует HTTPS. В консоли появляется ошибка, а ресурс не загружается.

Начиная с Chrome 81 (2020 год) браузеры начали автоматически заменять HTTP на HTTPS для пассивного смешанного содержимого. Если версия по HTTPS существует, она загружается. Если нет, ресурс блокируется.

Консоль разработчика браузера показывает предупреждения и ошибки, связанные со смешанным содержимым. В Chrome откройте DevTools, перейдите на вкладку «Консоль» и установите фильтр «Смешанное содержимое». Для каждого заблокированного ресурса показывается небезопасный URL-адрес, который необходимо обновить.

Панель «Безопасность» в DevTools показывает подробный обзор безопасности: сведения о сертификате, информацию о соединении и список всех небезопасных ресурсов на странице.

Директива политики безопасности содержимого (CSP) "upgrade-insecure-requests" instructs browsers to automatically upgrade all HTTP requests from the page to HTTPS. Это позволяет обрабатывать устаревшее содержимое с жёстко заданными URL-адресами HTTP.

В отличие от блокировки смешанного содержимого, upgrade-insecure-requests сначала пытается загрузить версию по HTTPS. Директива полезна при переходе с HTTP на HTTPS, когда обновление всех встроенных URL-адресов в устаревшем содержимом было бы непрактичным.

Без HTTPS ISP могут внедрять содержимое в ответы HTTP. Несколько ISP были уличены во внедрении рекламы на веб-страницы, где её изначально не было, добавлении пикселей отслеживания или показе предупреждений, когда пользователи приближаются к ограничению объёма данных.

Такая форма внедрения содержимого невозможна на страницах HTTPS, поскольку ответ аутентифицирован и зашифрован. Любое изменение приведёт к сбою проверки MAC в TLS и, вместо передачи изменённого содержимого, вызовет ошибку соединения.

Пока браузер не получит заголовок HSTS для домена, самое первое посещение по HTTP остаётся уязвимым. Злоумышленник может перехватить этот первоначальный запрос и выполнить понижение SSL, не вызвав предупреждений браузера.

Именно эта уязвимость, связанная с доверием при первом использовании, объясняет существование списка предварительной загрузки HSTS. Добавление сайта в список гарантирует, что браузеры будут использовать HTTPS для этого домена уже с самого первого запроса, полностью закрывая окно уязвимости первого посещения.

Проверьте, насколько хорошо Вы понимаете принцип строгой транспортной безопасности HTTP.

HSTS instructs browsers to enforce HTTPS-only connections for a domain for a specified duration. Список предварительной загрузки распространяет защиту на самые первые посещения, встраивая политики HSTS непосредственно в браузеры.

Понижение SSL (Moxie Marlinspike, 2009) заменяет HTTPS на HTTP; HSTS предотвращает эту атаку. Активное смешанное содержимое (скрипты HTTP на страницах HTTPS) блокируется браузерами. Директива CSP upgrade-insecure-requests автоматизирует переход с HTTP на HTTPS для устаревшего содержимого.