0

私は Web サイトを構築していて、最初の要求が HTTP によって行われた場合に安全であることをどのように保証できるのか疑問に思っています。HSTS はこれを行いますが、部分的です。

HTTPポートを開かないことでこの問題は解決すると思います。しかし、これは標準ですか？当サイトはBtoBなのでSEOは問題ありません。ユーザーは私のアドレスに直接アクセスしますが、HTTP で可能であると仮定します。何か案が？

4

2 に答える 2

0

簡潔な答え ：

  • HSTS プリロードを使用します: https://hstspreload.appspot.com/
  • https では、常に HSTS ヘッダーを送信します
  • http では、常に 301 リダイレクトを https に送信しました

プリロードのおかげで、最初の訪問でも訪問者を保護します。ブラウザーは、最初の連絡の前でも、https でのみドメインに連絡する必要があることを認識します (ソースコードに含まれます。https://github.com/ssllabsを参照してください)。 /research/wiki/Preload-Lists )。

(そしてもちろん、301 リダイレクト http=>https を保持します)

ポート 80 を閉じるのが得策ではないのはなぜですか? 2 つのオプションを見てみましょう。

HSTS とポート 80 を閉じたオプション:

攻撃の場合：

  • http://example.comへの最初のアクセス:ハッキングされる (サーバーが応答しなくても、ハッカーは回答を偽造できます)
  • http://example.comへのその後のアクセス:ハッキングも受けます(ユーザーはだまされて、Web サイトへの http リンクをクリックする可能性があります)。
  • https://example.comへの最初のアクセス: ユーザーは安全です
  • http://example.comまたはhttps://example.comへのその後のアクセス: ユーザーは安全です (http へのアクセスは HSTS のおかげでリダイレクトされます)

HSTS およびポート 80 が開いているオプション:

  • http://example.comへの最初のアクセス** : https への 301 リダイレクト (その後 HSTS を取得)

  • http://example.comへのその後のアクセス: ユーザーは https に安全にリダイレクトされます (HSTS のおかげで)

  • https://example.comへの最初のアクセス: ユーザーは安全で、HSTS が保持されます

  • http://example.comまたはhttps://example.comへのその後のアクセス: ユーザーは安全です (http へのアクセスは HSTS のおかげでリダイレクトされます)

攻撃の場合：

  • http://example.comへの最初のアクセス:ハッキングされる

  • http://example.comへのその後のアクセス: ユーザーは https に安全にリダイレクトされます (HSTS のおかげで)

  • https://example.comへの最初のアクセス: ユーザーは安全で、HSTS が保持されます

  • http://example.comまたはhttps://example.comへのその後のアクセス: ユーザーは安全です (http へのアクセスは HSTS のおかげでリダイレクトされます)

ご覧のとおり、ポート 80 を開いて https への 301 リダイレクトに応答すると、セキュリティが少し向上します (閉じてもセキュリティは向上せず、訪問者を混乱させる可能性があります)。

于 2015-09-16T18:22:38.400 に答える
-1

http を https に変更するファイアウォール リダイレクト ルールをお勧めします。

于 2015-09-15T23:19:04.640 に答える