Nagłówki bezpieczeństwa HTTP prosto wyjaśnione: które chronią, a które tylko są

Każda strona, którą serwer dostarcza, przychodzi z zestawem nagłówków – linijek biegnących przed treścią i mówiących przeglądarce, jak potraktować to, co nastąpi. Garść z nich dotyczy bezpieczeństwa.

Dają się łatwo sprawdzić i łatwo sprawdzić źle. Policzenie, które nagłówki są obecne, trwa sekundę i daje liczbę wyglądającą jak wynik. Ta liczba nie mówi prawie nic, bo nagłówek może być obecny, poprawnie zapisany i całkowicie bez działania.

Czym są nagłówki ochronne

Cztery z nich niosą główny ciężar i każdy odpowiada na inne pytanie.

Content-Security-Policy wypisuje, skąd strona może wczytywać kod. Wszystkiego, czego na liście nie ma, przeglądarka odmawia – to najważniejsza obrona przed podrzuconymi skryptami.

Strict-Transport-Security poleca przeglądarce brać odtąd połączenie szyfrowane, a nigdy otwarte – także wtedy, gdy odnośnik, zakładka albo wpisany adres mówią inaczej.

X-Frame-Options rozstrzyga, czy strona może zostać osadzona w ramce na cudzej witrynie, i tym samym zapobiega klikaniu w coś niewidocznego.

Referrer-Policy rozstrzyga, ile z bieżącego adresu zostaje przekazane, gdy odnośnik prowadzi ze strony dalej.

Piąty, Permissions-Policy, wyłącza funkcje przeglądarki, których strona nie potrzebuje – kamerę, mikrofon, położenie. Jest najrzadszy z pięciu i najmniej skłonny cokolwiek popsuć.

Reguła, którą znosi unsafe-inline

Content-Security-Policy jest najsilniejszy z pięciu i najczęściej przegrywa z własną wartością.

Zagrożeniem, dla którego istnieje, jest podrzucony skrypt: coś, co ktoś wpisał albo napastnik podłożył, ląduje w stronie i działa, jakby do niej należało. CSP zapobiega temu, wymieniając źródła, z których przeglądarce wolno wykonywać kod – a skrypt wpisany wprost w stronę nie ma źródła, które dałoby się wymienić.

Właśnie na to 'unsafe-inline' znowu zezwala. Słowo nie stoi w wartości bez powodu – mówi, co robi – a stoi tam dlatego, że strona pełna małych osadzonych skryptów bez tego zezwolenia przestaje działać. Dodanie go to najszybszy sposób, by zepsuta strona znów ruszyła, i oddaje dokładnie to zezwolenie, którego odmówienie było sensem reguły.

Reguła z 'unsafe-inline' blokuje jeszcze kilka rzeczy: na przykład kod doczytywany z obcych adresów. Przeciw atakowi, dla którego CSP głównie istnieje, nie robi prawie nic.

'unsafe-eval' to ta sama historia w węższym przypadku, a default-src równe * to ta sama historia całkiem bez pozorów.

Jak długi musi być okres HSTS

Strict-Transport-Security ma jedną liczbę, od której wszystko zależy: max-age, w sekundach.

Mówi ona, jak długo przeglądarka ma pamiętać polecenie. Do upływu tego czasu żadne otwarte, nieszyfrowane zapytanie do tej domeny już nie idzie – przeglądarka przepisuje je, zanim opuści komputer. To cała ochrona i trwa dokładnie tyle, co pamięć.

max-age równe 300 pamięta przez pięć minut. Formalnie poprawne, obecne w każdym sprawdzeniu liczącym nazwy i bezużyteczne dla odwiedzin następnego dnia. Zwykle zaleca się rok, zapisany jako 31536000.

Liczą się dwa dodatki. includeSubDomains rozciąga regułę na każdą poddomenę i zamyka tym samym lukę, przez którą zapomniany system testowy w tej samej domenie zostaje osiągalny bez szyfrowania. A preload prosi o wbudowanie domeny wprost w przeglądarki, tak by ochrona objęła i pierwsze odwiedziny – tę jedną chwilę, w której HSTS inaczej pomóc nie może, bo nic jeszcze nie zostało zapamiętane.

Do tego ostatniego kroku należy ostrzeżenie: wpisy trudno usunąć, a zanim usunięcie dotrze do przeglądarek, mijają miesiące. Pasuje do domeny, której szyfrowanie jest ustalone, a nie do takiej, która dopiero jest porządkowana.

Gdy dwa nagłówki regulują to samo

Osadzanie w ramkach uregulowane jest podwójnie, przez dwa różnej daty nagłówki, a reguła tego, który wygrywa, regularnie zaskakuje.

X-Frame-Options jest starszy, rozumiany wszędzie, i oferuje DENY albo SAMEORIGIN. CSP ma frame-ancestors, który wykonuje to samo zadanie, ale listą adresów zamiast dwiema stałymi możliwościami.

Gdy obecne są oba, wygrywa frame-ancestors, a X-Frame-Options zostaje całkowicie pominięty. Nie scalony, nie połączony – pominięty. Stronę z X-Frame-Options: DENY i z CSP zawierającym frame-ancestors * może osadzić każdy, a surowszy z dwóch nagłówków nie ma nic do powiedzenia.

To błąd kryjący się najlepiej, bo oba nagłówki są obecne, oba poprawnie zapisane, a sprawdzenie liczące nazwy zgłasza dwa zabezpieczenia tam, gdzie jest jedno.

Co idzie razem z każdym kliknięciem

Referrer-Policy jest najcichszy z pięciu i ma najbardziej codzienne następstwa.

Gdy odnośnik prowadzi ze strony dalej, przeglądarka mówi celowi, skąd przyszły odwiedziny. Ile powie, ustala ten nagłówek. unsafe-url przekazuje pełny adres wraz ze ścieżką, no-referrer nie przekazuje nic, a strict-origin-when-cross-origin przekazuje pełny adres w obrębie tej samej witryny, a obcym tylko domenę.

W ścieżce siedzi to drażliwe. /pl/konto/zamowienia/48120 zdradza numer klienta, odnośnik do zresetowania hasła zdradza jednorazowy klucz, a strona wyszukiwania zdradza szukane słowo. Wszystko to idzie do witryny, do której prowadzi odnośnik, w zupełnie zwyczajnym nagłówku, bez tego, żeby cokolwiek poszło źle.

Ostatnia z trzech wartości to rozsądne ustawienie domyślne i nowoczesne przeglądarki stosują je same, gdy nagłówka brak. Tym samym wyraźnie ustawione unsafe-url jest gorsze niż brak nagłówka: zastępuje dobre ustawienie domyślne złą decyzją.

Co pokazuje jedno pobranie

Wszystko to jest jawne. Nagłówki przychodzą z każdą odpowiedzią, dla dowolnego adresu, a odczytanie ich kosztuje jedno zapytanie.

Warte zadania są cztery pytania. Czy CSP istnieje i czy jego wartość oddaje to, co zabrał. Czy okres HSTS jest dość długi, by przetrwać między dwiema wizytami. Czy dwa nagłówki od ramek nie przeczą sobie i czy ten wygrywający mówi to, co zamierzono. Oraz czy ustawienie referrera przekazuje więcej, niż cel potrzebuje.

Sprawdzarka nagłówków bezpieczeństwa HTTP odpowiada na wszystkie cztery dla dowolnego adresu. Pobiera stronę raz, odczytuje nagłówki tak, jak czyta je przeglądarka, śledzi po drodze przekierowania i ocenia wartości, zamiast liczyć nazwy.

Użyteczny wynik nie jest oceną. Jest krótką listą nagłówków, które są obecne i nic nie robią – bo właśnie na te nikt nie spojrzy drugi raz.