301 리디렉션 및 .htaccess의 HSTS

Question

사이트를 https로 변경했으며 .htaccess에서 리디렉션을 설정했습니다. 하지만 Strict Transport Security도 설정했습니다. 둘 다 필요하거나 유용합니까?

<IfModule mod_headers.c> 
    Header always set Strict-Transport-Security "max-age=16070400" 
</IfModule> 

<IfModule mod_rewrite.c> 
RewriteEngine on 
RewriteCond %{HTTPS} off 
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L] 
</IfModule> 

건배

Answer 1

http://www.example.com을 입력하는 사람들에게 https://www.example.com으로 가도록 지시합니다. 기본값은 http이므로 프로토콜을 사용하지 않고 www.example.com을 입력하면 http://www.example.com으로 이동하므로이 리디렉션이 필요합니다.

그래도 문제가 있습니다.

첫 번째 http는 안전하지 않으며 네트워크상의 다른 사용자가 읽고 변경할 수 있습니다. 이것이 https를 사용해야하는 이유입니다. 그러나 http가 안전하지 않으므로 리디렉션을 가로 채고 http 버전을 유지하고 트래픽을 계속 차단할 수 있습니다. 또는 대신 https://www.evilexample.com으로 리디렉션 할 수도 있습니다.

HTTP 엄격한 전송 보안 (또는 HSTS)은이 문제를 해결하기위한 보안 메커니즘입니다. 귀하의 서버는 브라우저에 으로 항상을 사용하여 해당 사이트에 대해 https를 사용합니다. 프로토콜을 입력하지 않더라도 (http가 일반적으로 사용될 때) DO과 같이 프로토콜을 http로 입력해도됩니다.

브라우저가 사이트에 대해 HSTS를로드하면 HTTP 요청을 전혀 보내지 않고 대신 자동으로 https로 변경합니다. 여기에는 몇 가지 장점이 있습니다.

1. 차단할 수 없으므로 더욱 안전합니다.
2. http://www.example.com에게 요청을 보내면 시간이 낭비되지 않으므로 https://www.example.com으로 가야합니다.
3. 실수로 http 소스를 포함하면 http 리소스 (해당 사이트에만 있지만 다른 사이트에서는로드되지 않음)가 자동으로 변경되므로 혼합 된 콘텐츠 오류를 해결하는 데 사용할 수 있습니다. Content Security Policy의 업그레이드 비보안 요청은 아마도 더 나은 솔루션 일 수 있지만 HSTS는 여전히 기본 버전을 제공합니다.

또 다른 답변으로,이 설정은 브라우저가 방문자가이 사이트의 인증서 오류를 클릭하여 공격에 대한 추가 보안을 강화할 수 없음을 의미합니다. 분명하지만 쉽게 만 HTTP에 사이트의 일부를 그리워하는 것처럼 보일 수있는 -

1. 귀하의 사이트는 HTTPS를 할 필요가 : HSTS의

   주요 단점은 있습니다. 또는 includeSubdomain 옵션을 사용하는 경우 http의 하위 도메인입니다.

2. 방문객은 사이트에 먼저 방문해야만 HSTS 정책을 선택할 수 있지만 브라우저에 미리로드 할 수는 있지만 취할 결정이 아닙니다.
3. 브라우저 지원은 아직 보편적이지 않습니다. 그리고 크롤러가 검색 엔진 등에서 사용하더라도 아마 그것을 사용하지 않을 것입니다.

HSTS가 왜 좋은지와 왜 당신이 지켜야 하는지를 잘 설명합니다. 리디렉션 위에.

Answer 2

예! 둘 다 지켜야합니다. OWASP docs에는 HSTS를 사용하는 데 많은 혜택이 있습니다. 예 :

• 은 자동으로 HTTP 요청을 HTTPS로 리디렉션합니다.

• 사용자가 잘못된 인증서 메시지를 무시하지 못하도록합니다.

Answer 3

나는 당신이 말하는이 문서 https://varvy.com/pagespeed/hsts.html에보고해야한다고 생각 :
그것은 301 리디렉션처럼 기본적으로,하지만 브라우저 수준이 아닌 웹 페이지 수준에서. 301 리다이렉트는 브라우저에서 처음 볼 때 301 리디렉션이 실제로 보안되지 않는 반면 항상 https 만 사용하도록 구현 될 수 있기 때문에 301 리디렉션보다 월등합니다.

설명서를 읽은 후 결정할 수 있습니다.