HTTPS-konfigurációs audit

Egy webhely válaszfejlécei beilleszthetők — és ha megvannak, a tanúsítványát, az oldalforrásának egy részletét és a gazdagépnevet —, és ez az oldal jelenti, hogyan van beállítva a HTTPS-oldal: be van-e állítva a HSTS, és mennyi ideig, frissíti-e a tartalombiztonsági szabályzat a nem biztonságos kéréseket, meg vannak-e jelölve a sütik Secure és SameSite jelzővel, elárul-e a szerverbanner egy verziót, és mit mondanak a proxy-fejlécek az alkalmazás által ténylegesen látott kérésről. A tanúsítvány ugyanabban a jelentésben kerül ellenőrzésre, a sima http:// erőforrások az oldalforrásból kerülnek összeszámlálásra, a kézfogást látni képes parancsok pedig felsorolásra kerülnek, hogy az olvasó futtathassa őket. Minden a böngészőben fut, és az oldal nem küld saját kérést.
1. Válaszfejlécek
A teljes válaszfejléc-blokk, az állapotsorral együtt. Legegyszerűbb forrás: a curl -sI https://example.com/ parancs a terminálban, vagy a böngésző fejlesztői eszközeinek Hálózat fülén a Fejlécek panel, a fájl tetejétől másolva. A további fejlécek beolvasásra kerülnek, de figyelmen kívül maradnak; csak a HTTPS-hez kapcsolódók jelennek meg.
2. Tanúsítvány vagy lánc (opcionális)
Ha ez is ki van töltve, ugyanabban a jelentésben a teljes tanúsítvány-ellenőrzés is megjelenik, így a konfiguráció és a tanúsítvány együtt olvasható. PEM, csupasz base64 vagy hexadecimális törzs, valamint base64-ként beillesztett PKCS#7 .p7b egyaránt működik; a tanúsítványellenőrző a tanúsítványt önmagában mélyebben vizsgálja.
3. Oldalforrás-részlet (opcionális)
Beilleszthető az oldal forráskódját (vagy csak a címkéket URL-ekkel), és minden sima http:// cím fel lesz sorolva, mert egy HTTP-n betöltött erőforrás megtöri a lakatot, és továbbítás közben átírható akkor is, ha az oldal HTTPS-en érkezett. Az oldal saját gazdagépére mutató címek külön kiemelve jelennek meg, mivel ezeket javítaná egy relatív URL.
4. Gazdagépnév (opcionális)
Ha itt gazdagépnév szerepel, az ellenőrzés a böngészőhöz hasonlóan vizsgálja az alternatív tárgyneveket, beleértve a helyettesítő karakteres szabályokat, és a sima http:// címeket ezekhez illeszti.
még nincs ellenőrzés
A minta szándékosan tökéletlen, hogy a jelentés minden része tartalmazzon valamit: egy HSTS-t és tartalombiztonsági szabályzatot tartalmazó fejlécblokk (de preload nélkül, és egy süti SameSite nélkül), egy kétszintű tanúsítványlánc, és egy oldalrészlet, amely szkriptet tölt be sima http:// címről, és hasonlóan mutat egy képet az oldal saját gazdagépére. A mintán F osztályzat várható; a lenti megállapításokból látható, mit jelent mindegyik.
Mit ellenőriz. A fejlécblokkból: HSTS, annak max-age, includeSubDomains és preload értékei; a nem biztonságos kéréseket frissítő tartalombiztonsági szabályzat; minden Set-Cookie Secure, HttpOnly és SameSite jelzője; a terméket és verziót megnevező szerverbanner; és a továbbított fejlécek, amelyekből kiderül, hogy az alkalmazás HTTPS-kérésként látta-e a kérést. A tanúsítványblokkból: a teljes tanúsítvány-ellenőrzés, egészen addig, hogy a lánc minden láncszeme valóban aláírta-e a következőt. Az oldalforrásból: a sima http:// erőforrások. A három rész külön jelentődik, majd együtt összegződik, mert a törött lakat általában e három közül az egyikből ered, nem a másik kettőből. A biztonsági válaszfejlécek teljes OWASP-listájához — X-Content-Type-Options, keretezési védelem, Referrer-Policy, Permissions-Policy, COOP, COEP, CORP és a pontozott osztályzat — ugyanezt a fejlécblokkot a Biztonsági fejlécek ellenőrzése oldalra kell illeszteni; a két oldal a munkát a TLS-réteg és a fejlécréteg szerint osztja meg.

Amit nem lát. Ez az oldal soha nem nyit TLS-kapcsolatot. A böngészők nem teszik elérhetővé a kézfogást egy oldal számára, ezért a protokollverzió, a rejtjelcsomag, a kulcscsere-csoport, az OCSP-stapling, a munkamenet-folytatás, a 0-RTT, a futó szerver ténylegesen küldött tanúsítványláncja, valamint az, hogy a HTTP–HTTPS átirányítás az eredetinél vagy egy proxynál történik-e, egyike sincs olyan helyzetben, amelyet bármely weboldal jelenthetne. Harmadik fél oldalát sem éri el, hogy a fejléceket begyűjtse, és nem tudja megmondani, hogy egy tanúsítvány megbízható-e, mert ez egy olyan gyökértárolótól függ, amelyet egy oldal nem olvashat. A lenti parancsok ezeket látják, és azokat az irányítása alatt álló gépen kell futtatni.

Honnan szerezhető a fejlécblokk. Terminálban a curl -sI https://example.com/ pontosan azt írja ki, amit ez az oldal vár. Böngészőben a fejlesztői eszközök megnyithatók, a Hálózat fül kiválasztható, az oldal újratölthető, a dokumentumkérés kijelölhető, és a teljes Válaszfejlécek terület átmásolható, vagy a Másolás → Válaszfejlécek másolása lehetőséget. Az átirányítás-ellenőrzéshez a curl -sI http://example.com/ parancsot is, és beilleszthető mindkét blokkot; az oldal egymás után jelenti őket.
Auditjelentés
Még nincs ellenőrzés. Egy fejlécblokk fent történő beillesztése után az Ennek a konfigurációnak az ellenőrzése gombbal készíthető el a teljes jelentés; a tanúsítvány, az oldalforrás-részlet és a gazdagépnév opcionális, és mindegyik saját szakaszt ad hozzá.
Elérhetőségi próba — az egyetlen rész ezen az oldalon, amely hálózatot használ
Egy oldal nem nyithat TLS-kapcsolatot, de megpróbálhat egy egyszerű kérést. Ha a webhely engedélyezi a származáson kívüli olvasást, az URL, ahová a válasz végül megérkezik, megmutatja, hogy a http:// átirányításra került-e https://-re, és ennél többet nem tud bizonyítani. Ha a kérés meghiúsul, ez az oldal nem tudja megmondani, hogy a gazdagép le van-e állva, a saját kapcsolat van-e kiesve, vagy a webhely egyszerűen nem engedélyezi a származáson kívüli olvasást — ez utóbbi a gyakori eset, mert a legtöbb webhely nem küld Access-Control-Allow-Origin fejlécet. Egy http:// URL minden átirányítás előtt válaszol, így ez az egyetlen dolog itt, amit egy böngésző sima kapcsolaton megkísérelhet. A böngésző semmit nem küld el, amíg meg nem nyomja a gombot.
Parancsok, amelyek látják a kézfogást
curl -sI https://example.com/ # the header block this page reads curl -sI http://example.com/ # is plain HTTP answered, or redirected? curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' http://example.com/ openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null openssl s_client -connect example.com:443 -servername example.com -tls1_3 </dev/null 2>/dev/null \ | openssl x509 -noout -subject -issuer -dates -ext subjectAltName nmap --script ssl-enum-ciphers -p 443 example.com testssl.sh example.com # or: docker run --rm -ti drwetter/testssl.sh example.com
Ezeket az irányítása alatt álló gépen kell futtatni, olyan gazdagép ellen, amelyet tesztelni szabad. A -showcerts kimenet közvetlenül beilleszthető a tanúsítványellenőrzőbe, a fejléc-kimenet pedig vissza ide.
A tanúsítvány nyilvános dokumentum. Minden nyilvánosan megbízható tanúsítvány bekerül a tanúsítványátláthatósági naplókba, ezért bármely benne lévő gazdagépnév — beleértve egy belső vagy elgépelt nevet, amelyet egy nyilvános hitelesítésszolgáltató írt alá — ezekben a naplókban keresve megtalálható. A tanúsítvány a kiállító által választott visszavonási címeket is tartalmazza, és ezek néha belső gazdagépet neveznek meg. Ezért a CDN által kiszolgált tanúsítvány nem árul el semmit az eredeti kiszolgálóról: a benne lévő nevek a CDN-hez tartoznak. Ha az ellenőrzés váratlan gazdagépnevet talál, nyilvánosnak kezelendő, és le kell cserélni mindazt, amit az véd.

Adatvédelem: a fejlécblokk, a tanúsítvány és az oldalforrás helyben olvasódik, soha nem töltődik fel, és semmilyen kérés nem történik, hacsak nem nyomja meg a gombot az elérhetőségi próbában. Saját tanúsítvány létrehozásához a önaláírt tanúsítvány-generátor használható; annak ellenőrzésére, hogy egy privát kulcs egy tanúsítványhoz tartozik, a tanúsítvány- és kulcsillesztő.