2. Overview (Panoramica)
Questa sezione discute i casi d'uso, riassume la politica HSTS e continua con una discussione del modello di minaccia, delle minacce non affrontate e dei requisiti derivati.
2.1 Use Cases (Casi d'uso)
Il caso d'uso di alto livello è una combinazione di:
-
Utenti di browser web che desiderano interagire con vari siti web (alcuni arbitrari, alcuni noti) in modo sicuro.
-
Distributori di siti web che desiderano offrire i loro siti nel modo più sicuro possibile, sia per se stessi che per i loro utenti.
2.2 HTTP Strict Transport Security Policy Effects (Effetti della politica HTTP Strict Transport Security)
Gli effetti della politica HSTS, quando applicata nelle interazioni di UA conformi con un host di risorse web che implementa tale politica (un host HSTS (HSTS Host)), sono riassunti come segue:
-
Gli UA trasformano i riferimenti URI non sicuri a un host HSTS in riferimenti URI sicuri prima di dereferenziarli.
-
L'UA termina tutti i tentativi di connessione di trasporto sicuro su tutti gli errori o avvisi di trasporto sicuro.
2.3 Threat Model (Modello di minaccia)
HSTS si occupa di tre classi di minacce: attaccanti di rete passivi (Passive Network Attackers), attaccanti di rete attivi (Active Network Attackers) e sviluppatori web imperfetti (Imperfect Web Developers). Tuttavia, non è esplicitamente un rimedio per altre due classi di minacce: phishing e malware. Le minacce affrontate e non affrontate sono brevemente discusse di seguito.
I lettori possono consultare la Sezione 2 di [ForceHTTPS] per dettagli e riferimenti.
2.3.1 Threats Addressed (Minacce affrontate)
2.3.1.1 Passive Network Attackers (Attaccanti di rete passivi)
Quando un utente naviga sul web su una rete wireless locale (ad esempio, una rete locale wireless basata su 802.11), un attaccante nelle vicinanze può eventualmente intercettare le connessioni basate su protocollo Internet non crittografate dell'utente, come HTTP, indipendentemente dal fatto che la rete wireless locale stessa sia protetta o meno [BeckTews09].
[Ulteriori contenuti saranno aggiunti in aggiornamenti futuri. Si prega di consultare il testo ufficiale RFC 6797 per i dettagli completi.]