👨🏼‍🎤 👩🏿‍🚒 📕 "HTTP स्ट्रिक्ट-ट्रांसपोर्ट-सिक्योरिटी" या खुद को "मैन-इन-द-मिडिल" हमलों से कैसे बचाएं और ब्राउज़र को हमेशा HTTPS का उपयोग करने के लिए मजबूर करें ⛱️ 🦏 👨🏿‍🤝‍👨🏽

विस्तार पर ध्यान पूर्णता को जन्म देता है,
लेकिन पूर्णता अब एक तिपहिया नहीं है।

माइकल एंजेलो बुओनारोती

2012 से, वेब संसाधन प्रशासकों ने नई HTTP स्ट्रक्ट ट्रांसपोर्ट सिक्योरिटी (HSTS) तकनीक का उपयोग किया है, जो एक ऐसा तंत्र है जो HTTPS के माध्यम से एक सुरक्षित सुरक्षित कनेक्शन को सक्रिय करता है। यह सुरक्षा नीति आपको HTTP का उपयोग करने के बजाय तुरंत एक सुरक्षित कनेक्शन स्थापित करने की अनुमति देती है। एचटीटीपीएस सर्वर [ 1 ] पर एचटीटीपी पर आने वाले उपयोगकर्ता को स्विच करने के लिए तंत्र विशेष HTTP स्ट्रिक्ट-ट्रांसपोर्ट-सुरक्षा हेडर का उपयोग करता है।
HSTS का उद्देश्य हमलों के लिए निम्न कमजोरियों को बंद करना है:

उपयोगकर्ता बुकमार्क या पता बार http://example.com/ में टाइप करता है और "मैन-इन-द-मिडिल अटैक" का शिकार हो जाता है	HSTS स्वचालित रूप से लक्ष्य डोमेन के लिए HTTP अनुरोध HTTPS में कनवर्ट करता है
वेब एप्लिकेशन, जिसे HTTPS के माध्यम से सख्ती से उपयोग किया जाना चाहिए, अनजाने में HTTP लिंक होते हैं या HTTP के माध्यम से सामग्री प्रदान करते हैं	HSTS स्वचालित रूप से लक्ष्य डोमेन के लिए HTTP अनुरोध HTTPS में कनवर्ट करता है
हमला करने वाला व्यक्ति बीच-बीच में पीड़ित के ट्रैफ़िक को रोकने की कोशिश करता है ताकि फर्जी प्रमाण पत्र का इस्तेमाल किया जा सके कि उपयोगकर्ता अवैध प्रमाणपत्र के बारे में संदेश पर ध्यान नहीं देगा।	एचएसटीएस प्रमाणपत्र के साथ समस्याओं के बारे में उपयोगकर्ता को और संदेश नहीं जाने देगा

इस तकनीक को यथासंभव सरल चालू किया जाता है; आपको उस समय उपयोगकर्ता को स्ट्रिक्ट-ट्रांसपोर्ट-सिक्योरिटी HTTP हेडर वापस करने की आवश्यकता होती है जब वह HTTPS के माध्यम से साइट पर जाता है:

  सख्त-परिवहन-सुरक्षा: अधिकतम-आयु = expireTime [;  includeSubdomains]

expireTime
ब्राउज़र में सेकंड में समय यह याद रखना चाहिए कि इस साइट को विशेष रूप से HTTPS के माध्यम से जाना चाहिए। सम्मिलित करें (वैकल्पिक)
यदि आप इस वैकल्पिक पैरामीटर को निर्दिष्ट करते हैं, तो नियम सभी उप-डोमेन पर भी लागू होंगे।

यह क्या देता है

यदि वेबसाइट HTTP के माध्यम से कनेक्शन स्वीकार करती है और उन्हें HTTPS पर पुनर्निर्देशित करती है, तो उपयोगकर्ता साइट के अनएन्क्रिप्टेड संस्करण को पुनर्निर्देशित करने से पहले अच्छी तरह से चालू हो सकता है, उदाहरण के लिए, वह पता बार में टाइप करता है http://example.com/ या, और भी आसान। example.com। यह एक आदमी के बीच में हमले की क्षमता को खोलता है, जिसमें मूल एन्क्रिप्टेड पृष्ठ के बजाय एक HTTP रीडायरेक्ट उपयोगकर्ता को सीधे हमलावर की साइट पर भेजता है।
HTTP स्ट्रिक्ट ट्रांसपोर्ट सिक्योरिटी मैकेनिज्म वेबसाइट को ब्राउज़र को सूचित करने की अनुमति देता है कि उसे HTTP का उपयोग नहीं करना चाहिए और इसके बजाय, सभी HTTP अनुरोधों को स्वचालित रूप से HTTPS में कनवर्ट करें।
उदाहरण के लिए, आप सार्वजनिक स्थान पर एक खुले वाई-फाई पहुंच बिंदु से कनेक्ट होते हैं और शेष राशि की जांच करने और भुगतान करने के लिए अपने पसंदीदा बैंक का आरबी खोलते हैं। दुर्भाग्य से, आप जिस एक्सेस प्वाइंट का उपयोग कर रहे हैं, वह वास्तव में एक हमलावर का लैपटॉप है, जो आपके HTTP अनुरोधों को स्वीकार करता है और आपको मूल बैंक साइट के बजाय क्लोन पेज पर रीडायरेक्ट करता है। आपका डेटा सीधे उसके हाथों में आता है।
HSTS इस समस्या को हल करता है। यदि आपके पास कम से कम एक बार "सख्त परिवहन सुरक्षा" का उपयोग करके HTTPS के माध्यम से बैंक की वेबसाइट से सफलतापूर्वक जुड़ा हुआ है, तो ब्राउज़र स्वचालित रूप से सभी अनुरोधों के लिए HTTS का उपयोग करना शुरू कर देगा। यह ऊपर वर्णित प्रकार के मानव-में-मध्य हमलों की संभावना को रोक देगा।

ब्राउज़र कैसे करता है

पहली बार किसी साइट को HTTPS के माध्यम से देखा जाता है और सख्त परिवहन सुरक्षा शीर्षक लौटाता है, ब्राउज़र निर्दिष्ट जानकारी को याद रखता है और HTTP के माध्यम से साइट तक पहुंचने के सभी और प्रयास स्वचालित रूप से HTTPS में बदल जाएंगे।
जब "स्ट्रक्ट-ट्रांसपोर्ट-सिक्योरिटी" हेडर में निर्दिष्ट समय समाप्त हो जाता है, तो HTTP के माध्यम से साइट को डाउनलोड करने का अगला प्रयास सामान्य मोड में होगा और HTTPS पर स्वचालित रीडायरेक्शन नहीं किया जाएगा।
हर बार जब स्ट्रिक्ट-ट्रांसपोर्ट-सिक्योरिटी हेडर प्राप्त होता है, ब्राउज़र टाइमआउट को अपडेट करता है, अर्थात। साइटों में इस जानकारी को अपडेट करने और टाइमआउट की समाप्ति (या इसके विपरीत, किसी कारण से इसे कम करने के लिए) को रोकने की क्षमता है।

वैसे: स्ट्रिप-ट्रांसपोर्ट-सिक्योरिटी हेडर को HTTP कनेक्शन के मामले में ब्राउज़र द्वारा अनदेखा किया जाता है, क्योंकि हमलावर HTTP कनेक्शन को रोक सकता है और हेडर को बदल सकता है। ब्राउज़र समझ जाएगा कि साइट HTTPS- संगत है और साइट के प्रमाणपत्र त्रुटियों के बिना HTTPS के माध्यम से एक्सेस करने पर स्ट्रिक्ट-ट्रांसपोर्ट-सिक्योरिटी हेडर को ठीक से संभाल लेगा।

ब्राउज़र का समर्थन

क्रोमियम और गूगल क्रोम संस्करण 4.0.211.0 से
संस्करण 4 [ 2 ] के बाद से फ़ायरफ़ॉक्स; फ़ायरफ़ॉक्स 17 के साथ, मोज़िला ने उन वेबसाइटों की एक सूची लागू की है जो HSTS का समर्थन करती हैं।
संस्करण 12 से ओपेरा
सफारी ओएस एक्स Mavericks के साथ बंडल

कार्यान्वयन का विवरण

सख्त-परिवहन-सुरक्षा हेडर केवल HTTPS पर प्रेषित होने चाहिए। ग्राहकों को एचटीटीएस हेडर को एचटीटीपीएस प्रतिक्रियाओं में नहीं भेजा जाना चाहिए या एचटीटीपीएस पर अमान्य, गलत तरीके से कॉन्फ़िगर किए गए प्रमाण पत्र के साथ नहीं भेजना चाहिए। निम्न कॉन्फ़िगरेशन मार्ग SSL संदर्भ के भीतर होना चाहिए और कोड उदाहरण केवल HTTPS प्रतिक्रियाओं के संदर्भ में हैं।
ध्यान रखें कि सेकंड में अधिकतम आयु निर्देश प्रस्तुत किया गया है। नीचे के उदाहरणों में 31536000 सेकंड (12 महीने) वेब सर्वर प्रशासक कितनी देर तक HTTPS के माध्यम से साइट का उपयोग करने की अपेक्षा करता है, इस पर निर्भर करता है। इसे 31536000 (12 महीने) या 63072000 (24 महीने) की तरह, "अधिकतम-आयु" मान सेट करने के लिए अनुशंसित किया गया है। [ ३ ]

अपाचे कार्यान्वयन

  # लोड मॉड्यूल (उदाहरण के लिए RHEL / CentOS का उपयोग करके)
 LoadModule हेडर_मॉड्यूल मॉड्यूल / mod_headers.so
 <VirtualHost 10.0.0.1-00-0043>
    # क्लाइंट को केवल सुरक्षित कनेक्शन का उपयोग करने के लिए बाध्य करने के लिए HTTP सख्त परिवहन सुरक्षा का उपयोग करें
    हैडर ने हमेशा स्ट्रिक्ट-ट्रांसपोर्ट-सिक्योरिटी "अधिकतम आयु = 31536000 निर्धारित की है; इसमें शामिल करें"
 </ VirtualHost>

नेगनेक्स कार्यान्वयन

  add_header सख्त-परिवहन-सुरक्षा "अधिकतम आयु = 31536000; समसुविधाएँ";

पूर्वनिर्धारित HSTS साइटें

एक गैप है जिसमें एक नए सिरे से इंस्टॉल किए गए ब्राउज़र और कॉलेटेड सेटिंग्स वाला उपयोगकर्ता असुरक्षित है। इस कारण से, क्रोम और फ़ायरफ़ॉक्स "पूर्वनिर्धारित" एचएसटीएस संसाधनों की एक सूची बनाए रखते हैं। HSTS का उपयोग करने के लिए निम्न डोमेन कॉन्फ़िगर किए गए हैं:

गूगल
Paypal
चहचहाना
Torproject
passport.yandex.ru

साइटों की एक पूरी सूची यहाँ उपलब्ध है: http://src.chromium.org/viewvc/chrome/trunk/src/net/http/transport_security_state_static.json [ 4 ]