Существуют ли какие-либо практические риски для включения предварительно загруженного HSTS в новой среде (.NET Core) - PullRequest
Новая
       13

Существуют ли какие-либо практические риски для включения предварительно загруженного HSTS в новой среде (.NET Core)

0 голосов
/ 12 января 2019

Ссылка на это: https://hstspreload.org/

Есть куча вещей, чтобы убедиться, что все работает, прежде чем вы заставите их предварительно загрузить его:

  • при первом тестировании с max-age из 5 минут, затем - до 1 недели и 1 месяца.
  • Говорят, если вы создаете фреймворк или библиотеку, тогда сделайте preload включенным.

Я предполагаю, что это главным образом связано с тем, что люди предварительно устанавливают предварительно загруженный HSTS в существующие системы, а затем обнаруживают, что какая-то устаревшая часть системы не поддерживает HTTPS?

Я создаю новый сайт в .NET Core (размещен на Azure). Я думаю, что я должен иметь возможность разрабатывать все на своем сайте таким образом, чтобы он поддерживал HTTPS.

Существуют ли какие-либо общие функциональные возможности или библиотеки .NET / .NETCore, которые не поддерживают HTTPS и, следовательно, могут вызвать у меня проблему, если я предварительно настроил предварительную загрузку?

Очень похожий вопрос, с большим углом, нацеленным на SecurityTheory, размещенным на Бирже информационной безопасности: https://security.stackexchange.com/questions/201328/is-there-any-conceptual-downside-to-enabling-preloaded-hsts-on-greenfield

1 Ответ

0 голосов
/ 12 января 2019

Только вы можете ответить на этот вопрос на основе вашего сайта. Помните, что HSTS работает на всем домене, а предварительная загрузка в основном требует также всех поддоменов.

Так что, если www.example.com все HTTPS, но blog.example.com или intranet.example.com все еще не мигрировали в HTTPS, предварительная загрузка внезапно прервет это и потребует неизмеримой реализации HTTPS.

Другая проблема в том, что вы можете не заметить этого, пока это не вступит в силу и не станет слишком поздно. Особенно, если вы используете вариант www и браузер никогда не устанавливает HSTS в домене верхнего уровня, пока вы не загрузите его заранее. Чтобы обойти это, рекомендуется загрузить хотя бы один ресурс из домена верхнего уровня на вашем веб-сайте (например, https://example.com/logo.png)), а также установить длинный максимальный возраст и проверить, что ни один из них не вызывает проблем некоторое время перед предварительной загрузкой.

Добавление в список предварительной загрузки в принципе необратимо и полностью вне вашего контроля, поэтому мне это не нравится, хотя я полностью поддерживаю сеть только с HTTPS и согласен с тем, что предварительная загрузка является единственным реальным способом безопасного применения этого для домена. Эта ошибка Chrome изобилует людьми, просящими удалить их из списка предварительной загрузки после обнаружения, что они не готовы к этому.

Больше мыслей в моем блоге: https://www.tunetheweb.com/blog/dangerous-web-security-features/

...