HTTP Düşürme ve Karışık İçerik Riskleri

HTTP Katı Aktarım Güvenliği (HSTS) üstbilgisi, tarayıcılara belirtilen bir süre boyunca bir siteye yalnızca HTTPS üzerinden bağlanmalarını bildirir. Üstbilgi alındıktan sonra tarayıcı HTTP bağlantılarını reddeder ve http:// URL'lerini otomatik olarak https://'ye yükseltir.

Tipik bir HSTS üstbilgisi şöyledir: "Strict-Transport-Security: max-age=31536000; includeSubDomains; preload". max-age değeri saniye cinsindendir (31536000 = 1 yıl). Önbelleğe alındıktan sonra tarayıcı, herhangi bir sunucu müdahalesi olmadan HTTPS kullanımını bir yıl boyunca zorunlu kılar.

max-age parametresi, tarayıcının yalnızca HTTPS bağlantılarını ne kadar süreyle zorunlu kılması gerektiğini saniye cinsinden belirler. Üretim siteleri için önerilen değerler en az bir yıldır (31536000).

includeSubDomains yönergesi, HSTS zorunluluğunu tüm alt etki alanlarına genişletir. Bu, saldırganın bir alt etki alanı bağlantısını HTTP'ye düşürerek ana etki alanında Secure bayrağı olmadan ayarlanmış çerezleri çalmasını sağlayan saldırıları önler.

Tarayıcılar, ilk ziyarette bile her zaman yalnızca HTTPS kullanılmasını zorunlu kılan, sabit kodlanmış bir etki alanı listesiyle birlikte gelir. hstspreload.org adresinde tutulan bu listede binlerce büyük web sitesi bulunur.

Ön yükleme, ilk ziyaret açığını ortadan kaldırır: ön yükleme olmadan, ilk kez gelen bir ziyaretçi HSTS üstbilgisini almadan önce durdurulabilir. Ön yüklenen sitelerde, HSTS önbelleğinin durumundan bağımsız olarak ilk isteğin kendisinden itibaren yalnızca HTTPS kullanılır.

Moxie Marlinspike tarafından Black Hat 2009'da yayımlanan SSL düşürme, HTTPS bağlantılarını HTTP'ye düşüren bir MITM saldırısıdır. Saldırgan, kullanıcının ilk HTTP isteğini durdurur, kullanıcının adına gerçek sunucuya HTTPS istekleri gönderir ve içeriği HTTP üzerinden kullanıcıya iletir.

Mağdur içeriği normal görür, ancak bağlantı HTTP üzerinden gerçekleşir. Girilen tüm kimlik bilgileri saldırgana gider. HSTS'den önce bu saldırı son derece etkiliydi; çünkü kullanıcılar asma kilidin eksik olduğunu fark etmiyordu.

HSTS, tarayıcı HSTS kapsamındaki etki alanlarına HTTP bağlantılarıyla devam etmeyi reddettiği için SSL düşürmeyi engeller. Saldırgan bir sayfayı HTTP üzerinden sunmaya çalışsa bile tarayıcı bağlanmayı reddeder ve bir hata gösterir.

Tarayıcının HSTS zorunluluğunu uygulaması herhangi bir ağ isteğinden önce gerçekleşir; bu nedenle saldırgan araya giremez. Geriye kalan tek açık, HSTS alınmadan önceki ilk ziyarettir ve ön yükleme bunu ortadan kaldırır.

Karma içerik, bir HTTPS sayfası HTTP üzerinden kaynak yüklediğinde ortaya çıkar. Pasif karma içerik, HTTP üzerinden yüklenen resimleri, sesleri ve videoları içerir. Bunlar sayfayı doğrudan değiştiremez; ancak HTTP üstbilgileri aracılığıyla kullanıcı bilgilerini açığa çıkarabilir ve izlemeye olanak tanıyabilir.

Etkin karma içerik, HTTP üzerinden yüklenen betikleri, stil sayfalarını, satır içi çerçeveleri ve XMLHttpRequests isteklerini içerir. HTTP üzerinden yüklenen bir betik, tam DOM erişimine sahip olduğu ve çerezleri ve form verilerini okuyabildiği için HTTPS sayfasının güvenliğini tamamen tehlikeye atabilir.

Modern tarayıcılar, kapsayıcı sayfa HTTPS olduğunda etkin karma içeriği (HTTP üzerinden sunulan betikler, stil sayfaları ve satır içi çerçeveler) varsayılan olarak engeller. Konsolda bir hata gösterilir ve kaynak yüklenmez.

Chrome 81'den (2020) itibaren tarayıcılar pasif karma içeriği otomatik olarak HTTPS'ye yükseltmeye başladı. HTTPS sürümü varsa yüklenir. Yoksa kaynak engellenir.

Tarayıcının geliştirici konsolu, karma içerik uyarılarını ve hatalarını gösterir. Chrome'da DevTools'u açın, Konsol sekmesine gidin ve "Karma İçerik" ifadesine göre filtreleyin. Engellenen her kaynak, güncellenmesi gereken güvenli olmayan URL'yi gösterir.

DevTools'taki Güvenlik paneli kapsamlı bir güvenlik özeti sunar: sertifika ayrıntıları, bağlantı bilgileri ve sayfadaki tüm güvenli olmayan kaynakların listesi.

İçerik Güvenlik Politikası (CSP) içindeki "upgrade-insecure-requests" yönergesi, tarayıcılara sayfadaki tüm HTTP isteklerini otomatik olarak HTTPS'ye yükseltmelerini bildirir. Bu, HTTP URL'leri sabit kodlanmış eski içerikleri işler.

Karma içeriği engellemenin aksine upgrade-insecure-requests, önce HTTPS sürümünü getirmeyi dener. Eski içerikteki tüm gömülü URL'leri güncellemenin uygulanabilir olmadığı durumlarda, HTTP'den HTTPS'ye geçiş sırasında kullanışlıdır.

HTTPS olmadan ISP'ler HTTP yanıtlarına içerik ekleyebilir. Birçok ISP'nin reklam içermeyen web sayfalarına reklam eklediği, izleme pikselleri yerleştirdiği veya kullanıcılar veri kullanım sınırlarına yaklaşırken uyarı sayfaları eklediği tespit edilmiştir.

Bu tür içerik ekleme HTTPS sayfalarında mümkün değildir; çünkü yanıtın kimliği doğrulanır ve yanıt şifrelenir. Herhangi bir değişiklik, TLS MAC doğrulamasının başarısız olmasına ve değiştirilmiş içeriğin sunulması yerine bağlantı hatası oluşmasına neden olur.

Tarayıcı bir etki alanına ait HSTS üstbilgisini görmeden önce, HTTP üzerinden yapılan ilk ziyaret savunmasızdır. Saldırgan bu ilk isteği durdurabilir ve herhangi bir tarayıcı uyarısını tetiklemeden SSL düşürme gerçekleştirebilir.

Bu "ilk kullanımda güven" açığı, HSTS ön yükleme listesinin var olmasının nedenidir. Bir siteyi ön yükleme listesine eklemek, tarayıcıların ilk istekten itibaren o etki alanı için HTTPS kullanımını zorunlu kılmasını ve ilk ziyaret aralığını tamamen kapatmasını sağlar.

HTTP Katı Aktarım Güvenliği hakkındaki anlayışınızı sınayın.

HSTS, tarayıcılara bir etki alanı için belirtilen süre boyunca yalnızca HTTPS bağlantılarını zorunlu kılmalarını bildirir. Ön yükleme listesi, HSTS politikalarını tarayıcılara sabitleyerek ilk ziyaretlere de koruma sağlar.

SSL düşürme (Moxie Marlinspike, 2009), HTTPS'yi HTTP'ye düşürür; HSTS bunu engeller. Etkin karma içerik (HTTPS sayfalarındaki HTTP betikleri) tarayıcılar tarafından engellenir. upgrade-insecure-requests CSP yönergesi, eski içeriklerin HTTP'den HTTPS'ye geçirilmesini otomatikleştirir.