Zum Hauptinhalt springen

RFC 6797 - HTTP Strict Transport Security (HTTP Strikte Transportsicherheit, HSTS)

Internet Engineering Task Force (IETF)
Request for Comments: 6797
Kategorie: Standards Track
ISSN: 2070-1721

Autoren:
J. Hodges (PayPal)
C. Jackson (Carnegie Mellon University)
A. Barth (Google, Inc.)

Veröffentlichungsdatum: November 2012

Zusammenfassung (Abstract)​

Diese Spezifikation definiert einen Mechanismus, der es Websites ermöglicht zu deklarieren, dass sie nur über sichere Verbindungen zugänglich sind, und/oder der es Benutzern ermöglicht, ihren User Agent anzuweisen, nur über sichere Verbindungen mit bestimmten Websites zu interagieren. Diese Gesamtpolitik wird als HTTP Strict Transport Security (HSTS) bezeichnet. Die Politik wird von Websites über das Strict-Transport-Security HTTP-Antwortheaderfeld und/oder durch andere Mittel wie z.B. User-Agent-Konfiguration deklariert.

Status dieses Dokuments (Status of This Memo)​

Dies ist ein Internet Standards Track Dokument.

Dieses Dokument ist ein Produkt der Internet Engineering Task Force (IETF). Es repräsentiert den Konsens der IETF-Community. Es hat ein öffentliches Review erhalten und wurde vom Internet Engineering Steering Group (IESG) zur Veröffentlichung genehmigt. Weitere Informationen zu Internet-Standards sind in Abschnitt 2 von RFC 5741 verfügbar.

Informationen über den aktuellen Status dieses Dokuments, Errata und wie man Feedback geben kann, sind erhältlich unter:
http://www.rfc-editor.org/info/rfc6797

Copyright (c) 2012 IETF Trust und die als Dokumentautoren identifizierten Personen. Alle Rechte vorbehalten.

Dieses Dokument unterliegt BCP 78 und den rechtlichen Bestimmungen des IETF Trust in Bezug auf IETF-Dokumente (http://trustee.ietf.org/license-info), die zum Zeitpunkt der Veröffentlichung dieses Dokuments in Kraft sind. Bitte lesen Sie diese Dokumente sorgfältig durch, da sie Ihre Rechte und Einschränkungen in Bezug auf dieses Dokument beschreiben.

Inhaltsverzeichnis (Table of Contents)​

Anhänge (Appendices)​

Verwandte Ressourcen​

Schnellreferenz​

Kernwert von HSTS​

HSTS behebt die folgenden kritischen Websicherheitsprobleme durch Erzwingung von HTTPS-Verbindungen:

  1. SSL Stripping-Angriffe: Angreifer ersetzen HTTPS-Links durch HTTP
  2. Man-in-the-Middle-Angriffe: Abfangen und Ändern von unverschlüsseltem Datenverkehr
  3. Session-Hijacking: Diebstahl von Cookies, die über HTTP übertragen werden
  4. Mixed-Content-Probleme: HTTPS-Seiten laden HTTP-Ressourcen

Grundlegende Verwendung​

Server-Konfigurationsbeispiel (Nginx):

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Browser-Verhalten:

Benutzer besucht: http://example.com
Browser konvertiert automatisch zu: https://example.com
Zertifikatsfehler: Direkter Block, kein Umgehen erlaubt

Deployment-Empfehlungen​

  1. Testphase: max-age=300 (5 Minuten)
  2. Erstes Deployment: max-age=86400 (1 Tag)
  3. Stabiler Betrieb: max-age=31536000 (1 Jahr)
  4. Eintrag in die Preload-Liste: max-age=63072000; includeSubDomains; preload

Wichtige Überlegungen​

⚠️ Wichtige Warnungen:

  • HSTS ist schwierig schnell zu widerrufen, sobald es gesetzt ist
  • Stellen Sie sicher, dass alle Subdomains HTTPS unterstützen, bevor Sie includeSubDomains verwenden
  • Senden Sie keine HSTS-Header in HTTP-Antworten (sie werden entfernt)
  • Vermeiden Sie die Verwendung von langfristigen max-age-Werten in Entwicklungsumgebungen

Diese RFC ist einer der Eckpfeiler der modernen Websicherheit und wird von allen großen Browsern unterstützt. Die ordnungsgemäße Bereitstellung von HSTS kann die Sicherheit von Websites erheblich verbessern.

Letztes Update am