Passa al contenuto principale

RFC 6797 - HTTP Strict Transport Security (Sicurezza Rigorosa del Trasporto HTTP, HSTS)

Internet Engineering Task Force (IETF)
Request for Comments: 6797
Categoria: Standards Track
ISSN: 2070-1721

Autori:
J. Hodges (PayPal)
C. Jackson (Carnegie Mellon University)
A. Barth (Google, Inc.)

Data di pubblicazione: Novembre 2012

Riepilogo (Abstract)​

Questa specifica definisce un meccanismo che consente ai siti web di dichiarare che sono accessibili solo tramite connessioni sicure e/o che consente agli utenti di indirizzare il proprio user agent per interagire con determinati siti solo tramite connessioni sicure. Questa politica complessiva è chiamata HTTP Strict Transport Security (HSTS). La politica è dichiarata dai siti web tramite il campo di intestazione di risposta HTTP Strict-Transport-Security e/o tramite altri mezzi, come ad esempio la configurazione dell'user agent.

Stato di questo documento (Status of This Memo)​

Questo è un documento Internet Standards Track.

Questo documento è un prodotto dell'Internet Engineering Task Force (IETF). Rappresenta il consenso della comunità IETF. Ha ricevuto una revisione pubblica ed è stato approvato per la pubblicazione dall'Internet Engineering Steering Group (IESG). Ulteriori informazioni sugli standard Internet sono disponibili nella Sezione 2 di RFC 5741.

Le informazioni sullo stato attuale di questo documento, eventuali errata e come fornire feedback possono essere ottenute presso:
http://www.rfc-editor.org/info/rfc6797

Copyright (c) 2012 IETF Trust e le persone identificate come autori del documento. Tutti i diritti riservati.

Questo documento è soggetto a BCP 78 e alle disposizioni legali dell'IETF Trust relative ai documenti IETF (http://trustee.ietf.org/license-info) in vigore alla data di pubblicazione di questo documento. Si prega di esaminare attentamente questi documenti, poiché descrivono i propri diritti e le restrizioni relative a questo documento.

Sommario (Table of Contents)​

Appendici (Appendices)​

Risorse correlate​

Riferimento rapido​

Valore fondamentale di HSTS​

HSTS risolve i seguenti problemi critici di sicurezza web forzando le connessioni HTTPS:

  1. Attacchi SSL Stripping: Gli aggressori sostituiscono i link HTTPS con HTTP
  2. Attacchi Man-in-the-Middle: Intercettazione e modifica del traffico non crittografato
  3. Hijacking della sessione: Furto di cookie trasmessi tramite HTTP
  4. Problemi di contenuto misto: Pagine HTTPS che caricano risorse HTTP

Utilizzo di base​

Esempio di configurazione del server (Nginx):

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Comportamento del browser:

L'utente visita: http://example.com
Il browser converte automaticamente in: https://example.com
Errore del certificato: Blocco diretto, nessun bypass consentito

Raccomandazioni per la distribuzione​

  1. Fase di test: max-age=300 (5 minuti)
  2. Distribuzione iniziale: max-age=86400 (1 giorno)
  3. Operazione stabile: max-age=31536000 (1 anno)
  4. Ingresso nella lista di precaricamento: max-age=63072000; includeSubDomains; preload

Considerazioni importanti​

⚠️ Avvisi importanti:

  • HSTS è difficile da revocare rapidamente una volta impostato
  • Assicurarsi che tutti i sottodomini supportino HTTPS prima di utilizzare includeSubDomains
  • Non inviare intestazioni HSTS nelle risposte HTTP (verranno eliminate)
  • Evitare di utilizzare valori max-age a lungo termine negli ambienti di sviluppo

Questa RFC è uno dei pilastri della sicurezza web moderna ed è supportata da tutti i browser principali. La corretta distribuzione di HSTS può migliorare significativamente la sicurezza del sito web.

Ultimo aggiornamento il