Linux E X P R E S

Facebook

95 % serverů s HTTPS nevyužívá HSTS

Bezpečnost

Průzkum firmy Netcraft odhalil, že 95 % serverů s HTTPS nevyužívá hlavičku HSTS, která chrání proti nechtěnému přepnutí na nešifrovanou komunikaci.


Firma Netcraft zkoumala využití technologie HSTS na serverech komunikujících protokolem HTTPS (tedy HTTP nad TLS). HSTS (HTTP Strict Transport Security) využívá HTTP hlavičku posílanou do webových prohlížečů, kterým říká, že po určenou dobu nelze přejít na obyčejný nešifrovaný protokol HTTP. A situace je poměrně tristní – jen 5 % serverů s HTTPS využívá HSTS.

Přestože byla specifikace pro technologii HSTS vydána až v roce 2012 (RFC 6797), moderní webové prohlížeče ji dávno podporují a na straně webových serverů stačí přidat jedinou hlavičku. HSTS chrání proti nechtěnému přepnutí na nešifrovanou komunikaci, které se často využívá k nekalým účelům (umožňuje útok typu MITM).

Při nasazování HSTS je však potřeba dát pozor na nastavení a nejprve vše důkladně otestovat při nastaveném krátkém čase v hlavičce. Jak to dopadne, pokud se k tomu přistupuje lehkovážně, ukazuje případ slovenského správce národní domény SK-NIC.

Diskuze (3) Nahoru