SSL và Tiêu đề Bảo mật: Giải thích Kiểm tra Cấu hình

Việc kiểm tra SSL và tiêu đề có thể tiết lộ các sự cố về chứng chỉ hoặc cấu hình phản hồi. Thao tác này không xác nhận ứng dụng hoàn toàn không có lỗ hổng, cũng như việc thiếu tiêu đề không tự động chứng minh rằng có một cuộc tấn công khai thác được.

Kiểm tra kết nối và phản hồi thực tế

Kiểm tra tên máy chủ được yêu cầu, tính hợp lệ của chứng chỉ, chuỗi tin cậy và đích đến HTTPS cuối cùng. Sau đó, kiểm tra các tiêu đề được trả về cho các trang đại diện, bao gồm cả các tuyến đường được xác thực và công khai khi có ủy quyền. Các phản hồi chuyển hướng, trang được lưu bộ nhớ đệm và lỗi ứng dụng có thể sử dụng các cấu hình khác nhau, vì vậy một phản hồi trang chủ thành công chưa phải là một đánh giá hoàn chỉnh.

Chọn chính sách cho ứng dụng

Content Security Policy, HSTS và các tiêu đề khác có các mục đích khác nhau. Một chính sách nghiêm ngặt được sao chép từ trang web khác có thể làm hỏng các tập lệnh, tính năng nhúng hoặc tích hợp. Hiểu rõ các tài nguyên được yêu cầu, thử nghiệm chính sách phù hợp và giám sát các vi phạm trước khi áp dụng các hạn chế diện rộng. HSTS có hiệu lực lâu dài trong trình duyệt và cần được đặc biệt lưu ý.

Ví dụ minh họa: tiện ích thanh toán bị lỗi sau khi thay đổi CSP

Giả sử một chính sách mới ngăn khung thanh toán bắt buộc tải. Tái hiện lỗi thanh toán trong một bài kiểm tra được ủy quyền, kiểm tra vi phạm chính sách của trình duyệt và xác minh nguồn gốc nhà cung cấp dự định. Chỉ điều chỉnh chỉ thị cần thiết và kiểm tra lại toàn bộ quy trình. Không vô hiệu hóa toàn bộ chính sách hoặc cho phép rộng rãi mọi nguồn gốc chỉ để làm cho một tiện ích hoạt động. Đây là một ví dụ cấu hình giả định.

Xây dựng danh sách kiểm tra xác minh

• Xác nhận máy chủ HTTPS và chứng chỉ dự định.
• Kiểm tra chuyển hướng HTTP sang HTTPS và các phản hồi lỗi đại diện.
• Thử nghiệm đăng nhập, biểu mẫu, tài nguyên được nhúng và các tập lệnh quan trọng.
• Ghi lại các thay đổi chính sách và quy trình khôi phục thích hợp.
• Coi các phát hiện tự động là hàng đợi điều tra, không phải là chứng nhận.

SSL Checker của SearchBastion cung cấp một quan sát cấu hình ban đầu. Các biện pháp kiểm soát ủy quyền, xử lý đầu vào, quản lý phần phụ thuộc và kiểm tra ứng dụng đòi hỏi phải đánh giá riêng. Điểm số tiêu đề màu xanh lá cây không xác thực các khu vực đó hoặc đảm bảo khả năng hiển thị tìm kiếm.

Tham khảo tài liệu tham khảo tiêu đề HTTP của MDN trước khi chọn và kiểm tra các chính sách.