Ο ιστότοπός σας: https, HSTS και headers ασφαλείας

Ενότητα 4: Email, ιστότοπος και domain · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να ελέγξετε τη βασική ασφάλεια του ιστοτόπου σας: έγκυρο πιστοποιητικό, ανακατεύθυνση σε https, HSTS με σωστό max-age, τους σημαντικότερους headers ασφαλείας και την ενημέρωση του CMS σας.
Βασικές έννοιες: πιστοποιητικό TLS, https, ανακατεύθυνση σε https, HSTS, max-age, includeSubDomains, preload, HTTP header, Content-Security-Policy, X-Content-Type-Options, frame-ancestors, X-Frame-Options, Referrer-Policy

Τι συμβαίνει όταν κάποιος ανοίγει τον ιστότοπό σας

Όταν ένας πελάτης πληκτρολογεί example.com στη γραμμή διευθύνσεων, ο browser ζητά τη σελίδα από τον web server σας. Αυτή η επικοινωνία γίνεται μέσω HTTP. Στο https υπάρχει γύρω της μια κρυπτογραφημένη σύνδεση: το TLS. Για αυτό ο ιστότοπός σας χρειάζεται ένα πιστοποιητικό TLS (συχνά αναφέρεται ακόμη ως πιστοποιητικό SSL). Το πιστοποιητικό αποδεικνύει ότι ο server πραγματικά ανήκει στο example.com και η κρυπτογράφηση εξασφαλίζει ότι κανείς στη διαδρομή δεν μπορεί να διαβάσει ή να αλλάξει κάτι. Αυτό είναι σημαντικό σε δημόσιο wifi, όπου δεν γνωρίζετε ποιος διαχειρίζεται το δίκτυο (μάθημα 5.3).

Σε κάθε απάντηση, ο server στέλνει, εκτός από την ίδια τη σελίδα, και μια σειρά από headers: σύντομες γραμμές με πληροφορίες και οδηγίες για τον browser. Δεν τις βλέπετε στην οθόνη, αλλά καθορίζουν σε μεγάλο βαθμό πόσο ασφαλής είναι η συμπεριφορά του browser απέναντι στον ιστότοπό σας. Ένα μέρος αυτών των headers είναι headers ασφαλείας. Σε αυτό το μάθημα θα περάσουμε από τα τέσσερα επίπεδα: πιστοποιητικό, ανακατεύθυνση, HSTS και headers. Στη συνέχεια θα δούμε εν συντομία την ενημέρωση του ίδιου του ιστοτόπου σας.

Επίπεδο 1: ένα έγκυρο πιστοποιητικό

Ένα πιστοποιητικό είναι εντάξει όταν πληροί τρεις προϋποθέσεις:

1. δεν έχει λήξει·
2. έχει εκδοθεί από έναν αξιόπιστο εκδότη (μια αρχή πιστοποίησης που αναγνωρίζουν οι browsers, όπως το Let's Encrypt ή έναν εμπορικό φορέα)·
3. ισχύει για ακριβώς το όνομα που ανοίγει ο επισκέπτης: example.com αλλά και www.example.com αν χρησιμοποιείτε και τα δύο.

Σχεδόν κάθε πάροχος φιλοξενίας (hosting) φροντίζει σήμερα για ένα δωρεάν πιστοποιητικό που ανανεώνεται αυτόματα. Αν κάτι πάει στραβά, συνήθως οφείλεται στο ότι το domain δείχνει σε άλλον server ή ότι μια εγγραφή CAA μπλοκάρει τον εκδότη (μάθημα 4.3).

Σημαντικό να γνωρίζετε: ένα λουκέτο δεν λέει τίποτα για την αξιοπιστία του ιστοτόπου. Λέει μόνο ότι η σύνδεση είναι κρυπτογραφημένη και ότι το πιστοποιητικό αντιστοιχεί στο όνομα που φαίνεται στη γραμμή διευθύνσεων. Ιστότοποι phishing στο mijnbank-veilig.example έχουν εξίσου καλά ένα λουκέτο. Γι' αυτό στο μάθημα 3.2 μαθαίνετε να διαβάζετε το domain.

Επίπεδο 2: πάντα ανακατεύθυνση σε https

Ένα πιστοποιητικό από μόνο του δεν αρκεί. Όποιος ανοίγει το http://example.com, για παράδειγμα μέσω παλιού συνδέσμου ή πληκτρολογώντας μόνο το όνομα, πρέπει να μεταφέρεται αυτόματα στην έκδοση https. Αυτό ονομάζεται ανακατεύθυνση (redirect, συνήθως με κωδικό κατάστασης 301).

Μια σωστή σειρά είναι η εξής:

http://example.com      ->  https://example.com
https://example.com     ->  https://www.example.com   (μόνο αν χρησιμοποιείτε το www ως κύρια διεύθυνση)
http://www.example.com  ->  https://www.example.com

Προσέξτε την πρώτη γραμμή: ανακατευθύνετε πρώτα από http σε https στο ίδιο όνομα και μόνο μετά, αν χρειάζεται, στο www. Έτσι ο browser μπορεί να λάβει την οδηγία HSTS και από το γυμνό όνομα. Το internet.nl ελέγχει ακριβώς αυτό.

Ένα συχνό λάθος είναι η διπλή ανακατεύθυνση: και στο panel φιλοξενίας και σε ένα plugin ή στο .htaccess. Αυτό μπορεί να προκαλέσει ατέρμονο βρόχο ("πάρα πολλές ανακατευθύνσεις"). Χρησιμοποιήστε ένα μόνο σημείο.

Επίπεδο 3: HSTS

Η ανακατεύθυνση έχει ένα αδύναμο σημείο: το πρώτο αίτημα εξακολουθεί να γίνεται μη κρυπτογραφημένα μέσω http. Ένας επιτιθέμενος στο ίδιο δίκτυο μπορεί να υποκλέψει αυτό το αίτημα και να κρατήσει τον επισκέπτη σε μια πλαστή, μη κρυπτογραφημένη έκδοση. Για αυτό υπάρχει το HSTS (HTTP Strict Transport Security, RFC 6797).

Με το HSTS, ο ιστότοπός σας στέλνει μέσω https έναν header:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Ο browser θυμάται τότε: "αυτόν τον ιστότοπο να τον ανοίγω μόνο μέσω https, για τα επόμενα 31.536.000 δευτερόλεπτα (έναν χρόνο)". Αν ο επισκέπτης πληκτρολογήσει αργότερα http://example.com, ο browser το μετατρέπει μόνος του σε https, ακόμη πριν σταλεί οτιδήποτε μέσω του δικτύου. Το αδύναμο πρώτο αίτημα εξαφανίζεται.

Τρία πράγματα που πρέπει να γνωρίζετε πριν ενεργοποιήσετε το HSTS:

• Πρώτα πρέπει το https να λειτουργεί παντού. Ένας browser που έχει αποθηκεύσει το HSTS και βλέπει σφάλμα πιστοποιητικού, δεν δίνει στον επισκέπτη κανένα κουμπί για να συνεχίσει (RFC 6797, παράγραφος 12.1). Αν λήξει το πιστοποιητικό σας ή δεν ισχύει για το www, ο ιστότοπός σας γίνεται απρόσιτος για αυτούς τους επισκέπτες μέχρι να διορθωθεί.
• Το includeSubDomains επηρεάζει τα πάντα κάτω από το domain σας. Ένα παλιό subdomain χωρίς πιστοποιητικό, για παράδειγμα μια σελίδα εκτυπωτή ή κάμερας στο camera.example.com, δεν θα μπορεί πλέον να ανοίξει.
• Χτίστε το σταδιακά. Ξεκινήστε με σύντομο max-age (για παράδειγμα μία ημέρα), ελέγξτε ότι όλα λειτουργούν και αυξήστε σταδιακά έως τον έναν χρόνο. Περιμένετε σε κάθε βήμα όλη την περίοδο.

Έναν header HSTS που φτάνει μέσω απλού http, ο browser τον αγνοεί. Τον βλέπετε δηλαδή μόνο στην απάντηση https.

Επίπεδο 4: headers ασφαλείας

Εκτός από το HSTS υπάρχουν μερικοί ακόμη headers που λένε στον browser τι επιτρέπεται και τι όχι να κάνει με τις σελίδες σας. Δεν χρειάζεται να τους έχετε όλους τέλειους, αλλά οι τρεις πρώτοι είναι απλοί και χωρίς κίνδυνο.

Μια πλήρης Content-Security-Policy είναι η πιο ισχυρή, αλλά και η πιο δύσκολη: ένας πολύ αυστηρός κανόνας μπορεί να χαλάσει τα στατιστικά σας, το κουμπί πληρωμής σας ή το παράθυρο συνομιλίας σας. Με την παραλλαγή Content-Security-Policy-Report-Only μπορείτε πρώτα να μετρήσετε τι θα μπλοκαριζόταν, χωρίς να χαλάσει τίποτα. Αφήστε αυτό στον κατασκευαστή του ιστοτόπου σας ή ξεκινήστε μόνο με το frame-ancestors.

Να δείτε τους headers μόνοι σας

Ανοίξτε τον ιστότοπό σας σε έναν browser, πατήστε F12 (ή επιλέξτε «Επιθεώρηση»), πηγαίνετε στην καρτέλα Δίκτυο, φορτώστε ξανά τη σελίδα και κάντε κλικ στο πρώτο αίτημα. Κάτω από «Headers απάντησης» (Response Headers) βλέπετε όλα όσα στέλνει ο server. Με τη γραμμή εντολών μπορείτε επίσης:

curl -sI https://example.com/

Ο ίδιος ο ιστότοπος: CMS, plugins και θέματα

Οι καλύτεροι headers δεν βοηθούν αν το λογισμικό πίσω από τον ιστότοπό σας είναι ευάλωτο. Οι περισσότεροι παραβιασμένοι ιστότοποι μικρών επιχειρήσεων δεν παραβιάστηκαν μέσω του web server, αλλά μέσω ενός ξεπερασμένου plugin, ενός θέματος που δεν έχει ενημερωθεί εδώ και χρόνια ή ενός αδύναμου κωδικού πρόσβασης διαχειριστή.

• Ενεργοποιήστε τις αυτόματες ενημερώσεις για το CMS σας (για παράδειγμα WordPress, Joomla ή άλλο σύστημα) και για τα plugins όπου αυτό είναι δυνατό.
• Αφαιρέστε plugins και θέματα που δεν χρησιμοποιείτε· η απενεργοποίηση δεν αρκεί, τα αρχεία παραμένουν εκεί.
• Χρησιμοποιήστε για τη σύνδεση διαχειριστή έναν ισχυρό, μοναδικό κωδικό πρόσβασης και έλεγχο ταυτότητας δύο παραγόντων (ενότητα 2) και περιορίστε τον αριθμό των προσπαθειών σύνδεσης.
• Διατηρήστε την έκδοση PHP (ή άλλης γλώσσας) του πακέτου σας σε έκδοση που εξακολουθεί να λαμβάνει ενημερώσεις (μάθημα 5.1).

Στην πράξη: έτσι μοιάζει

Στο DirectAdmin, το panel που χρησιμοποιεί το WebOké, ενεργοποιείτε πρώτα στο domain σας την επιλογή Secure SSL και μετά την επιλογή Force SSL with https redirect. Στο ίδιο σημείο υπάρχει ένας διακόπτης για το HSTS· ενεργοποιήστε τον μόνο αφού το πιστοποιητικό λειτουργεί για όλα τα ονόματα. Σε άλλους παρόχους λειτουργεί παρόμοια, ή το ρυθμίζετε στις επιλογές του CMS σας.

Αν ο ιστότοπός σας λειτουργεί σε Apache ή LiteSpeed, μπορείτε να τοποθετήσετε τους headers και στο .htaccess:

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Προσθέστε το includeSubDomains μόνο όταν είστε σίγουροι ότι κάθε subdomain διαθέτει https. Μετά από κάθε αλλαγή, ελέγξτε με το τεστ ιστοτόπου του internet.nl ή με τα εργαλεία προγραμματιστή του browser σας.

Σύνοψη

• Ένα λουκέτο σημαίνει: κρυπτογραφημένο και σωστό όνομα. Δεν σημαίνει: αξιόπιστο.
• Ανακατευθύνετε πάντα το http σε https, πρώτα στο ίδιο όνομα, και από ένα μόνο σημείο.
• Το HSTS κάνει τον browser να θυμάται ότι ο ιστότοπός σας λειτουργεί μόνο μέσω https· το internet.nl θεωρεί επαρκές ένα max-age τουλάχιστον ενός έτους (31536000). Ενεργοποιήστε το μόνο όταν το https λειτουργεί παντού και χτίστε το σταδιακά.
• Τα X-Content-Type-Options: nosniff, frame-ancestors (ή X-Frame-Options) και Referrer-Policy είναι απλά· μια πλήρης Content-Security-Policy απαιτεί εξατομικευμένη ρύθμιση.
• Οι ενημερώσεις του CMS, των plugins και των θεμάτων σας είναι τουλάχιστον εξίσου σημαντικές με τους headers.

Κουίζ

Άσκηση

Άσκηση A4.2: Έλεγχος https, HSTS και headers της ιστοσελίδας σας. Συμπληρώστε το domain name του ιστοτόπου σας (αν δεν έχετε, χρησιμοποιήστε το internet.nl). Το πρόγραμμα ανοίγει το http:// και το https:// του domain σας και ελέγχει το πιστοποιητικό, την ανακατεύθυνση σε https, το HSTS και τους headers ασφαλείας. Λαμβάνετε για κάθε σημείο πράσινο, πορτοκαλί ή κόκκινο με εξήγηση.

Άσκηση D4.2: Ενημέρωση και τακτοποίηση του ιστότοπού σας. Συνδεθείτε στη διαχείριση του ιστοτόπου σας, ελέγξτε την έκδοση του CMS, των plugins και των θεμάτων σας, αφαιρέστε ό,τι δεν χρησιμοποιείτε και ενεργοποιήστε αυτόματες ενημερώσεις όπου αυτό είναι δυνατό. Σημειώστε τη λίστα ελέγχου και απαντήστε στην ερώτηση αναστοχασμού.

Περαιτέρω ανάγνωση

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.

• Ενεργοποίηση, ανανέωση και επίλυση προβλημάτων πιστοποιητικού SSL
• Υποχρεωτική ανακατεύθυνση επισκεπτών σε https
• Εγχειρίδιο DirectAdmin 6.4: Επισκέπτες πάντα προς https
• Εγχειρίδιο DirectAdmin 6.7: Χωρίς λουκέτο ή 'μη ασφαλές': επίλυση mixed content
• Εγχειρίδιο DirectAdmin 15.10: Web Application Firewall
• Προστασία του wp-login.php στο WordPress
• Internet.nl, τεστ ιστοτόπου (ανεξάρτητο): https://internet.nl
• RFC 6797, HTTP Strict Transport Security: https://www.rfc-editor.org/rfc/rfc6797
• Λίστα HSTS preload: https://hstspreload.org
• MDN, εξήγηση των headers (στα αγγλικά): https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security