HTTP हेडर को सिक्योरिटी के लिए कॉन्फ़िगर करने के लिए पूरी गाइड

सुरक्षा स्कोरकार्ड बेचने वाली कंपनियां बढ़ रही हैं, कॉर्पोरेट बिक्री में उनका प्रभाव बढ़ रहा है। इसके अलावा, ऐसे लोग हैं जो विक्रेताओं की कम सुरक्षा रेटिंग से भ्रमित हैं, और जिन्होंने कम से कम एक बार रेटिंग को देखते हुए खरीदने से इनकार कर दिया - मैंने ऐसे लोगों के साथ बात की।

मैंने देखा कि कैसे ये कंपनियां अन्य कंपनियों के सुरक्षा प्रदर्शन की गणना करती हैं। यह पता चला कि वे सुरक्षा और आईपी पते की प्रतिष्ठा के लिए HTTP हेडर का उपयोग करने के संयोजन को देख रहे थे।

एक आईपी पते की प्रतिष्ठा सार्वजनिक आईपी पते के मालिक के बारे में जानकारी के साथ संयुक्त ब्लैकलिस्ट और स्पैमर सूची डेटा पर आधारित है। सिद्धांत रूप में, यह साफ होना चाहिए अगर आपकी कंपनी स्पैम नहीं भेजती है और दुर्भावनापूर्ण कार्यान्वयन को जल्दी से पहचानने और रोकने में सक्षम है। HTTP सुरक्षा हेडर का उपयोग उसी तरह से गणना की जाती है जैसे मोज़िला की वेधशाला काम करती है।

इस प्रकार, अधिकांश कंपनियों की रेटिंग मुख्य रूप से सुरक्षा के लिए सार्वजनिक वेबसाइटों पर शामिल शीर्षकों द्वारा निर्धारित की जाती है।

शीर्षक को सही ढंग से सेट करना लंबे समय तक नहीं है (कोई गंभीर सत्यापन की आवश्यकता नहीं है), लेकिन यह साइट की सुरक्षा में सुधार करेगा और ग्राहकों को खोने में मदद नहीं करेगा जिनके लिए सुरक्षा एक खाली वाक्यांश नहीं है

मुझे उल्लिखित सत्यापन कार्यप्रणाली के मूल्य पर संदेह है, इसके अलावा, सेवा के लिए मूल्य टैग अत्यधिक है। यह संभावना नहीं है कि इस सेवा के आपूर्तिकर्ता एक संसाधन की सुरक्षा को निर्धारित सटीकता के साथ निर्धारित करने में सक्षम हैं। हालांकि, स्थिति एक बार फिर जोर देती है कि बैठना और सही शीर्षकों को चालू करने के लिए समय निकालना कितना महत्वपूर्ण है।

इस लेख में मैं सबसे अधिक बार जांचे जाने वाले हेडर के बारे में बात करूंगा, प्रत्येक के लिए मैं सुरक्षा मूल्यों की सलाह दूंगा और सेटिंग्स का एक उदाहरण दूंगा। अंत में मैं आम एप्लिकेशन और वेब सर्वर के लिए सेटिंग्स का उदाहरण दूंगा।

महत्वपूर्ण सुरक्षा प्रमुख

सामग्री-सुरक्षा-नीति

CSP का उपयोग क्रॉस-साइट स्क्रिप्टिंग को रोकने के लिए किया जाता है - यह निर्धारित करके कि कौन से संसाधन डाउनलोड किए जा सकते हैं। पूरी सूची से, इस शीर्षक को बनाने और ठीक से समर्थन करने के लिए बाकी की तुलना में अधिक समय लगेगा, और यहां तक ​​कि अन्य भी जोखिम में हैं। CSP विकसित करते समय, इसे सावधानीपूर्वक जांचें - यदि आप अचानक आपके द्वारा उपयोग किए जा रहे स्रोत को अवरुद्ध करते हैं, तो अपनी खुद की साइट की कार्यक्षमता को बाधित करें।

प्रारंभिक संस्करण के लिए, आप एक अद्भुत उपकरण का उपयोग कर सकते हैं - मोज़िला ब्राउज़र के लिए एक विस्तार, प्रयोगशाला सीएसपी । इसे एक ब्राउज़र में स्थापित करें, उस साइट का सावधानीपूर्वक अध्ययन करें जिसके लिए आप एक सीएसपी बनाना चाहते हैं, और फिर अपनी साइट पर उत्पन्न सीएसपी का उपयोग करें। आदर्श रूप से, आपको अभी भी जावास्क्रिप्ट को फिर से बनाने की आवश्यकता है ताकि आप असुरक्षित इनलाइन निर्देश को हटा सकें।

सीएसपी जटिल और भ्रामक लग सकता है, इसलिए यदि आप विषय में गहराई से उतरना चाहते हैं, तो आधिकारिक वेबसाइट पर जाएं ।

आप इस तरह सीएसपी को पूर्व-कॉन्फ़िगर कर सकते हैं (एक युद्ध स्थल पर, यह सबसे अधिक संभावना है कि कई संशोधनों की आवश्यकता होगी)। अपनी साइट के प्रत्येक अनुभाग में डोमेन जोड़ें।

# Default to only allow content from the current site # Allow images from current site and imgur.com # Don't allow objects such as Flash and Java # Only allow scripts from the current site # Only allow styles from the current site # Only allow frames from the current site # Restrict URL's in the <base> tag to current site # Allow forms to submit only to the current site Content-Security-Policy: default-src 'self'; img-src 'self' https://i.imgur.com; object-src 'none'; script-src 'self'; style-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'; 

सख्त-परिवहन-सुरक्षा

यह शीर्ष लेख ब्राउज़र को बताता है कि आप केवल HTTPS प्रोटोकॉल का उपयोग करके साइट में प्रवेश कर सकते हैं - हमेशा इसे सक्षम करें यदि HTTPS आपकी साइट पर सक्रिय है। इसे सभी उपयोग किए गए उप डोमेन में शामिल करें, यदि कोई हो।

 Strict-Transport-Security: max-age=3600; includeSubDomains 

एक्स-सामग्री-प्रकार-विकल्प

इस हेडर के लिए धन्यवाद, ब्राउज़र एप्लिकेशन द्वारा इंस्टॉल किए गए MIME प्रकारों का पालन करते हैं, जो कुछ क्रॉस-साइट स्क्रिप्टिंग हमलों को रोकने में मदद करता है।

जब ब्राउज़र गलत तरीके से साइट पर "सामग्री का प्रकार" अनुमान लगाता है, तो यह अप्रत्याशित अनुप्रयोग व्यवहार के जोखिम को भी कम करता है - उदाहरण के लिए, यदि डेवलपर "HTML" पेज को डिज़ाइन करता है और ब्राउज़र जावास्क्रिप्ट देखता है और तदनुसार पृष्ठ को रेंडर करने की कोशिश करता है। इसके अलावा, इस हेडर के लिए धन्यवाद, ब्राउज़र हमेशा सर्वर द्वारा स्थापित MIME प्रकारों को रखता है।

 X-Content-Type-Options: nosniff 

कैश कंट्रोल

यह एक दूसरों की तुलना में गरीब होगा, क्योंकि विभिन्न प्रकार की सामग्री के लिए आपको संभवतः अलग-अलग कैशिंग नीतियों की आवश्यकता होती है।

कोई संवेदनशील जानकारी - जैसे कि उपयोगकर्ता का पेज या उत्पाद भुगतान पृष्ठ - कैश नहीं किया जाना चाहिए। इसका एक कारण यह है कि एक अन्य कंप्यूटर उपयोगकर्ता बैक बटन नहीं दबाता है, इतिहास नहीं पढ़ता है और दूसरे उपयोगकर्ता के व्यक्तिगत डेटा को नहीं देखता है।

हालाँकि, आप उन पृष्ठों को कैश कर सकते हैं जिन्हें शायद ही कभी अपडेट किया जाता है, जैसे स्थैतिक संसाधन (चित्र, सीएसएस और जेएस फाइलें)। कैशिंग को पृष्ठ-दर-पृष्ठ आधार पर कॉन्फ़िगर किया जा सकता है, या सर्वर सेटिंग्स में रेगेक्स का उपयोग किया जा सकता है।

 # Don't cache by default Header set Cache-Control no-cache # Cache static assets for 1 day <filesMatch ".(css|jpg|jpeg|png|gif|js|ico)$"> Header set Cache-Control "max-age=86400, public" </filesMatch> 

समय-सीमा समाप्त

यह शीर्ष लेख उस समय को सेट करता है जब वर्तमान अनुरोध कैश किया जाता है। यदि कैशे-नियंत्रण अधिकतम-आयु शीर्ष लेख सक्षम है, तो इसे अनदेखा कर दिया जाता है, इसलिए हम केवल इसे एक साधारण स्कैनर जाँचने में सक्षम करते हैं - कैशिंग नियंत्रणों को छोड़कर।

हम मानते हैं कि सुरक्षा कारणों से ब्राउज़र कुछ भी कैश नहीं करता है, इसलिए हेडर में तारीख हमेशा अतीत में होगी।

 Expires: 0 

एक्स फ़्रेम-विकल्पों को

यह हेडर iFrame में साइट के प्रदर्शन को सक्षम करता है।

अपनी वेबसाइट को iFrame में रखकर, एक दुर्भावनापूर्ण संसाधन को क्लिकजैकिंग हमले करने का अवसर मिलता है - कुछ प्रकार के जावास्क्रिप्ट लॉन्च करके, जो उपयोगकर्ता को iFrame पर क्लिक करने के लिए ट्रिक करता है, और फिर उसके, उपयोगकर्ता, नाम (यानी, एक दुर्भावनापूर्ण लिंक या बटन पर क्लिक करता है) से संसाधन के साथ बातचीत शुरू करता है। इसके बारे में जाने बिना भी!)।

यदि आप जानबूझकर फ़्रेम का उपयोग करते हैं, तो अपवाद के साथ इस शीर्ष लेख को हमेशा विफल होना चाहिए। फिर हेडर को उसी स्रोत पर सेट किया जाना चाहिए। यदि आप डिफ़ॉल्ट रूप से किसी अन्य साइट के साथ फ़्रेम का उपयोग करते हैं, तो तृतीय-पक्ष डोमेन को श्वेतसूची में।

यह भी ध्यान दिया जाना चाहिए कि इस हेडर को सीएसपी फ्रेम-पूर्वजों के निर्देश द्वारा प्रतिस्थापित किया गया है। मैं इसे अभी के लिए चालू करने की सलाह देता हूं, लेकिन केवल हेडर की जांच के लिए उपकरण बंद करने के लिए, वे भविष्य में इससे छुटकारा पा लेंगे।

 X-Frame-Options: deny 

पहुंच-नियंत्रण-अनुमति दें-उत्पत्ति

यह हेडर ब्राउज़र को बताता है कि किस बाहरी पार्टी के कौन से तृतीय-पक्ष साइटों को किसी विशिष्ट पृष्ठ पर अनुरोध करने का अधिकार है। डिफ़ॉल्ट सेटिंग्स आमतौर पर सही होती हैं, लेकिन यदि आवश्यक हो तो आप उन्हें बदल सकते हैं।

उदाहरण के लिए, साइट ए में कुछ प्रकार के जावास्क्रिप्ट शामिल हैं जो साइट बी से अनुरोध करना चाहते हैं। साइट बी को इस अनुरोध का जवाब देना चाहिए - यदि हेडर साइट ए को अनुरोध करने की अनुमति देता है। यदि आपको कई स्रोतों को कॉन्फ़िगर करने की आवश्यकता है, तो एमडीएन पृष्ठ पर विवरण देखें ।

यहाँ आप थोड़ा भ्रमित हो सकते हैं, इसलिए मैंने एक चित्र बनाया - यह बताने के लिए कि यह हेडर कैसे काम करता है:

एक्सेस-कंट्रोल-अनुमति-उत्पत्ति के साथ डेटा स्ट्रीम

 Access-Control-Allow-Origin: http://www.one.site.com 

कुकी सेट करें

सुनिश्चित करें कि आपके कुकी केवल HTTPS प्रोटोकॉल (एन्क्रिप्शन के साथ) के माध्यम से सेट किए गए हैं और वे जावास्क्रिप्ट के माध्यम से सुलभ नहीं हैं। इन फ़ाइलों को केवल तभी भेजा जा सकता है जब आपकी साइट HTTPS का समर्थन करती है, जैसा कि यह होना चाहिए। आपको हमेशा ये ध्वज सेट करने की आवश्यकता होती है:

• सुरक्षित
• HTTPOnly

उदाहरण कुकी परिभाषा:

 Set-Cookie: <cookie-name>=<cookie-value>; Domain=<domain-value>; Secure; HttpOnly 

उत्कृष्ट मोज़िला कुकी प्रलेखन में और पढ़ें।

एक्स-XSS-संरक्षण

यह हेडर ब्राउज़र को क्रॉस-साइट स्क्रिप्टिंग हमलों का पता लगाने के लिए कहता है। इसे चालू करने से, आप अधिक जोखिम नहीं लेते हैं, लेकिन इसे उत्पादन वातावरण में लॉन्च करने से पहले इसका परीक्षण करें।

 X-XSS-Protection: 1; mode=block 

वेब सर्वर सेटिंग्स उदाहरण

सामान्य तौर पर, सर्वर सेटिंग्स में हेडर को पूरी साइट पर जोड़ना सबसे अच्छा होता है। कुकीज़ एक अपवाद हैं, क्योंकि वे अनुप्रयोग में ही परिभाषित हैं।

मैं आपको सलाह देता हूं कि साइट पर हेडर जोड़ने से पहले, वे पहले वेधशाला या मैन्युअल रूप से हेडर में देखें - चेक करें कि कौन सा पहले से स्थापित है। कुछ साइट और सर्वर इंजन सब कुछ अपने आप ही स्थापित कर देंगे, इसलिए केवल उन हेडर को लागू करें जिनकी आपको आवश्यकता है या जिन्हें इसकी आवश्यकता है उन्हें बदल दें।

अपाचे विन्यास

उदाहरण अपाचे विन्यास .htaccess:

 <IfModule mod_headers.c> ## CSP Header set Content-Security-Policy: default-src 'self'; img-src 'self' https://i.imgur.com; object-src 'none'; script-src 'self'; style-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'; ## General Security Headers Header set X-XSS-Protection: 1; mode=block Header set Access-Control-Allow-Origin: http://www.one.site.com Header set X-Frame-Options: deny Header set X-Content-Type-Options: nosniff Header set Strict-Transport-Security: max-age=3600; includeSubDomains ## Caching rules # Don't cache by default Header set Cache-Control no-cache Header set Expires: 0 # Cache static assets for 1 day <filesMatch ".(ico|css|js|gif|jpeg|jpg|png|svg|woff|ttf|eot)$"> Header set Cache-Control "max-age=86400, public" </filesMatch> </IfModule> 

Nginx कॉन्फ़िगरेशन

 ## CSP add_header Content-Security-Policy: default-src 'self'; img-src 'self' https://i.imgur.com; object-src 'none'; script-src 'self'; style-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'; ## General Security Headers add_header X-XSS-Protection: 1; mode=block; add_header Access-Control-Allow-Origin: http://www.one.site.com; add_header X-Frame-Options: deny; add_header X-Content-Type-Options: nosniff; add_header Strict-Transport-Security: max-age=3600; includeSubDomains; ## Caching rules # Don't cache by default add_header Cache-Control no-cache; add_header Expires: 0; # Cache static assets for 1 day location ~* \.(?:ico|css|js|gif|jpe?g|png|svg|woff|ttf|eot)$ { try_files $uri @rewriteapp; add_header Cache-Control "max-age=86400, public"; } 

अनुप्रयोग स्तर हैडर सेटिंग

यदि आपके पास वेब सर्वर तक पहुंच नहीं है या हेडर सेट करने की आवश्यकताएं जटिल हैं, तो आपको संभवतः उन्हें एप्लिकेशन में ही कॉन्फ़िगर करना होगा। आमतौर पर पूरी साइट के लिए यह मिडलवेयर का उपयोग करके किया जाता है, या प्रत्येक अनुरोध के लिए हेडर की एक बार की सेटिंग पर आधारित होता है।

संक्षिप्तता के लिए, मैंने प्रत्येक उदाहरण में केवल एक शीर्षक शामिल किया। आप उसी तरह से जोड़ते हैं जिस तरह की जरूरत है।

नोड और एक्सप्रेस:

वैश्विक माउंट पथ जोड़ें:

 app.use(function(req, res, next) { res.header('X-XSS-Protection', 1; mode=block); next(); }); 

जावा और स्प्रिंग

मुझे स्प्रिंग के साथ बहुत कम अनुभव है, लेकिन बैल्डुंग के पास स्प्रिंग में हेडर स्थापित करने के लिए एक बढ़िया गाइड है।

पीएचपी

मैं विभिन्न PHP वातावरणों से परिचित नहीं हूँ। प्रश्नों के लिए मिडलवेयर देखें। एकल अनुरोध के लिए, सब कुछ सरल है।

 header("X-XSS-Protection: 1; mode=block"); 

पायथन / Django

Django में कस्टमाइज़िंग सिक्योरिटी मिडिलवेयर शामिल है जो आपके लिए ये सब करेगा। पहले उन्हें सक्रिय करें।

कुछ पृष्ठों के उत्तर की व्याख्या एक शब्दकोश के रूप में की जा सकती है। Django में कैशिंग के साथ काम करने का एक विशेष तरीका है, और यदि आप कैशिंग हेडर को इस तरह से कॉन्फ़िगर करना चाहते हैं, तो आपको इसके साथ खुद को परिचित करने की आवश्यकता है।

 response = HttpResponse() response["X-XSS-Protection"] = "1; mode=block" 

निष्कर्ष

हेडर सेट करना अपेक्षाकृत सरल और तेज़ प्रक्रिया है, लेकिन यह साइट सुरक्षा के स्तर में वृद्धि - डेटा सुरक्षा के मामले में, क्रॉस-साइट स्क्रिप्टिंग और क्लिक-जैकिंग से देता है।

भविष्य में, आप खुद को लेनदेन की विफलता से बचाएंगे, क्योंकि आपकी सुरक्षा रेटिंग स्तर पर बनी रहेगी। मैंने जिन मापदंडों की जांच की है उनके आधार पर इसका मूल्यांकन करने की प्रथा जोर पकड़ रही है, और यह मुझे लगता है कि बिक्री के क्षेत्र में आने वाले वर्षों में इसकी भूमिका केवल तेज होगी।

मुझे पता है अगर मैं कुछ महत्वपूर्ण शीर्षक याद किया!