HTTP Strict Transport Security is een beveiligingsbeleidsmechanisme dat helpt websites te beschermen tegen protocol downgrade aanvallen en cookie-hijacking. Het stelt webservers in staat te verklaren dat browsers alleen via beveiligde HTTPS-verbindingen met hen mogen communiceren. Eenmaal ingesteld voorkomt HSTS dat gebruikers certificaatwaarschuwingen omzeilen en garandeert versleutelde verbindingen.
HTTP Strict Transport Security is een response-header die een server via HTTPS verstuurt, bijvoorbeeld Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Zodra een browser deze ziet, onthoudt hij gedurende de opgegeven max-age dat deze host alleen ooit via HTTPS bereikbaar mag zijn. Gedurende die periode herschrijft de browser elke http://-link naar de site naar https:// voordat er een request de machine verlaat, en zet hij herstelbare TLS-certificaatwaarschuwingen om in harde, niet-omzeilbare fouten. De optionele vlag includeSubDomains breidt de regel uit naar elk subdomein, en preload zorgt ervoor dat het beleid in browsers wordt ingebakken zodat het zelfs bij het allereerste bezoek al geldt.
Een gewone redirect van HTTP naar HTTPS stelt nog steeds één onveilige request bloot, en juist dat eerste request is precies waar een SSL-stripping-aanvaller opereert: hij zit op het netwerk, houdt zijn eigen verbinding met het slachtoffer op gewone HTTP en proxyt stilletjes door naar de echte site via HTTPS, waarbij hij cookies en inloggegevens buitmaakt. HSTS verwijdert dat venster door de onveilige request helemaal niet te maken. Het voorkomt ook dat gebruikers doorklikken op certificaatwaarschuwingen, wat man-in-the-middle-aanvallen verijdelt die op een vervalst of ongeldig certificaat leunen. Kortom, HSTS verandert HTTPS van een voorkeur waar de gebruiker uit kan worden gepraat in een afgedwongen garantie.
Bevestig eerst dat elke hostnaam en subresource echt werkt via HTTPS, want zodra een browser het beleid heeft gecachet, is er geen gemakkelijke uitweg meer totdat de max-age verloopt. Rol uit met een korte max-age, controleer of er niets breekt en verhoog deze daarna naar een jaar of meer. Voeg includeSubDomains pas toe wanneer je zeker weet dat geen enkel subdomein HTTP nodig heeft, en dien pas in bij de preload-lijst wanneer de hele domeinboom klaar is voor HTTPS. HSTS is een van de vele security-headers; het beschermt het transport, maar niet de inhoud die eroverheen gaat. Monitoren wat third-party scripts daadwerkelijk doen, zoals cside doet via payload-analyse, blijft een aparte en aanvullende laag.
Zonder preloading heeft de browser de header nog nooit gezien, dus het eerste request kan nog steeds via HTTP gaan en is kwetsbaar voor SSL-stripping. De HSTS-preload-lijst lost dit op door het beleid in de browser zelf mee te leveren, zodat de handhaving al geldt vanaf de allereerste verbinding met het domein.
Niet voor gebruikers die het beleid al hebben gecachet. Met max-age=0 vertel je browsers het te vergeten, maar dat treedt pas in werking de volgende keer dat elke browser de site via HTTPS bereikt. Vooraf ingeladen (preloaded) domeinen zijn nog trager te verwijderen. Daarom test je de HTTPS-dekking grondig voordat je je vastlegt op een lange max-age.
We answer client-side security questions every day. Bring yours.