Kullanılabilirlik nedenlerinden dolayı, tüm HTTP URL'lerinden HTTPS'ye bir yönlendirme sunmanız gerekir. Aksi takdirde, tarayıcının URL çubuğuna example.com/some/page 'i ilk kez giren ziyaretçiler bir bağlantı hatasıyla karşılanır.

Yönlendirmeyi sunmak sizi yapmaz daha savunmasız. Tarayıcılarında HSTS girişinize sahip olmayan kullanıcılar yine de bir HTTP isteğinde bulunacaktır. HTTP'de gerçek bir hizmet olup olmadığı, ortadaki bir adam için önemli değildir.

Bu nedenle, bir HTTP sunucusu çalıştırmanız gerekir, ancak yönlendirmeler dışında hiçbir şeyle yanıt vermesi gerekmez. .

Neden yalnızca https sunmuyorum?

Ana nedenler tarayıcıların varsayılan davranışı ve geriye dönük uyumluluktur .

Varsayılan davranış

Bir son kullanıcı (yani, protokoller veya güvenlik bilgisi olmadan) tarayıcısına web sitesi adresini yazdığında, tarayıcı varsayılan olarak HTTP kullanır. Tarayıcıların neden bu davranışı seçtiğiyle ilgili daha fazla bilgi için bu soruya bakın.

Bu nedenle, kullanıcılar büyük olasılıkla web sitenize erişemeyecektir.

Geriye dönük uyumluluk

Eski sistemlere ve eski tarayıcılara sahip bazı kullanıcıların HTTPS'yi desteklememesi veya büyük olasılıkla güncel bir kök sertifikaları veritabanına sahip olmaması mümkündür veya bazı protokolleri desteklemez.

Bu durumda, ya web sitesine erişemezler ya da bir güvenlik uyarısı alırlar. Son kullanıcılarınızın güvenliğinin HTTPS'yi zorlayacak kadar önemli olup olmadığını belirlemeniz gerekir.

Birçok web sitesi hâlâ HTTP'yi dinler ancak otomatik olarak HTTPS'ye yeniden yönlendirir ve gerçekten eski kullanıcıları yok sayar tarayıcılar.

HSTS'yi kurmazsam birisi http://www.example.com sahtesini yapabilir mi?

Bir saldırgan http://www.example.com 'u taklit etmek isterse, etki alanının kontrolünü ele geçirmesi veya bir şekilde IP adresinin kontrolünü ele geçirmesi gerekir.

Şunu kastettiğinizi varsayıyorum: Bir saldırgan ortadaki adam saldırısı yapabilir mi?

Bu durumda evet, ancak HSTS ile veya HSTS olmadan bile:

• HSTS olmadan : Bir saldırgan kolaylıkla sunucunuzun ve kullanıcının ortasında olabilir ve aktif (yani içeriği değiştirebilir) veya pasif (ör. kulak misafiri olabilir) olabilir

• HSTS ile : Bir kullanıcı HTTP kullanarak siteyi ilk kez ziyaret etmeyi denediğinde, bir saldırgan kullanıcıyı HTTP kullanmaya zorlayabilir. Ancak saldırganın saldırısını gerçekleştirebileceği zaman sınırlı bir zaman aralığı vardır.

Ne yapmalısınız?

Pek çok web sitesi gibi, HTTP bağlantılarına izin vermeli ve sunucunuzun kullanıcıyı HTTPS sürümüne yönlendirmesini sağlamalısınız. Bu şekilde, tarayıcıların varsayılan davranışını geçersiz kılarsınız ve kullanıcılarınızın HTTPS sürümünü kullanmasını sağlarsınız.

Uygun protokoller veya kök sertifikaları olmayan eski sistemler siteye erişemez (veya en azından bir uyarı alırsınız) ), ancak kullanıcı tabanınıza bağlı olarak bu bir sorun olmamalıdır.

Sonuç

HTTP'yi devre dışı bırakmak yarardan çok zarar verir. Gerçekte daha fazla güvenlik sağlamaz.

Bir kaynağı korumak için eklenen herhangi bir güvenlik, kullanıcılarının çoğunun ona erişmesini engelliyorsa işe yaramaz. Son kullanıcılarınız, tarayıcıları varsayılan olarak HTTP'ye ayarlı olduğu için web sitenize erişemiyorsa ve siz de HTTP bağlantılarını dinlemiyorsanız, bunun faydası nedir?

HTTPS sürümüne HTTP 301 yönlendirmesini gerçekleştirmeniz yeterlidir.

İlgili sorular

• Neden tarayıcılar varsayılan olarak http: ve yazılan URL'ler için https: değil?
• Neden HTTPS varsayılan protokol değil mi?
• Neden SSL kullanılmamalı?
• Neden bazı web siteleri SSL eksikliğini zorunlu kılıyor? ?

Yukarı oylanan cevaplar çok iyi. HTTP'yi tamamen kapatırsanız, güvenlik üzerinde büyük bir etki yaratmadan kullanılabilirlikten ödün verirsiniz.

Ancak, bunu HSTS Ön Yükleme seçeneğiyle azaltabilirsiniz. Web sitenizi önceden yüklemek, etki alanınızı tarayıcı satıcılarına kaydettirmeniz ve tarayıcılarını yalnızca HTTPS aracılığıyla web sitenizi ziyaret etmeleri için sabit kodlayacakları anlamına gelir. Bu, bir kullanıcı web sitenize HTTP üzerinden erişmeye çalışırsa, tarayıcının isteği HTTPS olarak değiştireceği anlamına gelir. Kullanıcının güvenli hale gelmeden önce HSTS başlığını alması gerekmez. Size her zaman güvenli bir kanal üzerinden bağlanacaklar.

Artık bu, yalnızca HTTPS web siteleri listelerini güncellememiş tarayıcıları kullanan kullanıcıları korumuyor. Önceden yüklemeyi kullanırken bile, eski veya güncellenmemiş tarayıcıları kullanan birkaç kişi için HTTP'yi kapatmamanızı öneririm.

Ancak dikkatli olun, ön yükleme kalıcıdır! Ön yükleme listesinden çıkmak son derece zordur.

Ön yükleme listesine girmek için: https://hstspreload.org/

Buna gerek yok.

Bazı eski tarayıcılar ve işletim sistemleri (bunlar genellikle el ele gider) daha yeni sertifika kök yetkililerine sahip değildir, ancak genellikle daha yeni HTTPS'yi desteklemezler standartlar, yani gerçekten hiçbir şey kaybolmaz.

HTTPS, özel komut dosyası vb. desteklemeyen bir cihazınız olabilir.

DNS kaydı size aittir ve A kaydı, belirli IP adresinizi gösterir (mükemmel bir dünyada).

Bunu sadece uyumluluğu korumak için yaparsınız, hepsi bu.

HTTP'yi yalnızca geriye dönük uyumluluğu desteklemek için desteklemelisiniz. Ve arka uç sunucusunda HTTPS'ye doğru yeniden yönlendirme yaptığınızdan emin olun. Bunu uygulamanın en iyi yolu, HTTP desteğini yalnızca ana sayfanıza veya hassas bilgiler içermeyen herhangi bir sayfaya sağlamaktır. Kullanıcıların Kimlik Doğrulamadan sonra erişebileceği sayfalara HTTP isteklerini desteklememelisiniz.

Sunucunuzun hassas verilerine erişen cihazlar (IoT) olsa bile, onları TLS kullanmaya zorlamalısınız (mevcut birçok cihaz sertifikanızı saklayabilir ve TLS bağlantısı oluşturabilir). 3.0'dan önceki SSL sürümlerinin poodlebug vb. Gibi birçok güvenlik açığı olduğunu unutmayın. Bu nedenle, Web sunucunuzdaki tüm önceki sürümleri devre dışı bırakın ve yalnızca> TLS 1.1'e izin verin.

HSTS'yi uygulamanız iyi bir şey. HPKP'yi sitenize uygulamanın fizibilitesine de göz atmanızı tavsiye ederim.

https'ye ek olarak http'yi iki amaçla kullanıyorum:

1. http'yi https web sitesine yönlendirin. Bu, birisinin sitenizin adını tarayıcıya yazması içindir.
2. http için, birisinin nokta com adını kullanmadan web sitesine erişmeye çalışması için ayrı bir web sitesi oluşturuyorum. (Gerçek bir kullanıcı bunu yapmayacaktır.) Bu web sitesi basit bir Çok Yakında mesajı gösterecektir. Ayrıca bu IP'yi sunucudan kalıcı olarak yasaklamak için IP adreslerini IP Tabloları reddetme listesine ekleyecektir. Bu durdurur , masscan kullanan bilgisayar korsanlarını yavaşlatır. (Başka bir programcıya bunun google taraması olmadığını kanıtlamak için engellediğim tüm IP'lerin kullanıcı aracısı dizelerini depolayarak kitlesel tarama buldum, ama aslında, IP taraması yapan yabancı bilgisayar korsanları, hacklemeye çalışmak için web sunucuları arıyor).