Securing the Web with HSTS-Enforced
Dieser Beitrag stellt „HSTS-Enforced" vor, einen neuartigen Sicherheitsmechanismus, der das aktuelle Opt-in-Modell in einen Standard-HTTPS-Opt-out-Ansatz mittels DNS-Einträgen und Preload-Listen umkehrt, wodurch TLS-Stripping-Schwachstellen beseitigt werden, während die Erreichbarkeit für Seiten, die HTTP benötigen, erhalten bleibt.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als ein riesiges Netz von Straßen vor. Seit Jahren gibt es eine Regel, die besagt: „Wenn Sie auf der Autobahn (HTTPS) fahren möchten, benötigen Sie einen speziellen Ausweis." Doch hier liegt das Problem: Die Beschaffung dieses Ausweises ist optional. Wenn Sie vergessen, ihn zu holen, oder wenn ein böswilliger Akteur (ein Hacker) Ihren Weg zur Autobahn blockiert, wird Ihr Fahrzeug gezwungen, eine holprige, offene Schotterstraße (HTTP) zu nehmen. Auf dieser Schotterstraße kann jeder am Straßenrand in Ihr Auto schauen, Ihr Gepäck stehlen oder sogar Ihre Passagiere durch gefälschte ersetzen.
Dieser Artikel stellt ein neues System namens HSTS-Enforced vor. Denken Sie daran wie an das Umkrempeln des gesamten Verkehrsregelbuchs.
Der alte Weg: „Opt-In"-Sicherheit
Derzeit müssen Website-Betreiber sagen: „Hey, bitte schließen Sie meine Türen!", indem sie einen spezifischen Header zu ihrer Site hinzufügen.
- Der Fehler: Wenn der Besitzer vergisst, das Schloss hinzuzufügen, oder wenn ein Hacker das Signal blockiert, das Ihrem Browser mitteilt, die Türen zu verriegeln, bleibt Ihre Verbindung ungesichert.
- Das Ergebnis: Es ist wie eine Nachbarschaft, in der Sie Ihr eigenes Sicherheitsschloss kaufen müssen. Wenn Sie dies nicht tun oder wenn der Lieferant von einem Dieb aufgehalten wird, steht Ihr Haus weit offen.
Der neue Weg: „Opt-Out"-Sicherheit (HSTS-Enforced)
Die Autoren schlagen ein System vor, bei dem jede Website standardmäßig verriegelt ist.
- Die Regel: Ihr Browser geht davon aus, dass jede Website eine Festung ist. Er wird nur versuchen, durch das sichere, gepanzerte Tor (HTTPS) einzutreten.
- Die Ausnahme: Wenn eine Website wirklich entriegelt sein muss (vielleicht ist es ein altes Gerät, das keine Schlösser verarbeiten kann, oder ein lokales Router-Setup), muss der Besitzer ein sehr spezifisches, manipulationssicheres Schild aufhängen, das besagt: „Es ist sicher, hier ohne Schloss einzutreten."
Die zwei „Schilder" (Indikatoren)
Wie weiß der Browser, welche Websites entriegelt werden dürfen? Der Artikel schlägt zwei Möglichkeiten vor, dieses Schild aufzuhängen:
Die „Preload List" (Das Hauptverzeichnis):
Stellen Sie sich ein riesiges, offizielles Verzeichnis vor, das von den Browserherstellern geführt wird. Wenn ein Website-Betreiber entriegelt werden möchte, bewirbt er sich für diese Liste. Der Browser prüft diese Liste zuerst. Wenn die Website nicht auf der Liste steht, geht der Browser davon aus, dass sie verriegelt ist, und lässt Sie nicht ohne einen sicheren Schlüssel hinein.- Analogie: Es ist wie eine „Bitte nicht stören"-Liste für Hotels. Wenn Ihr Name nicht auf der „Bitte nicht stören"-Liste steht, geht die Rezeption davon aus, dass Sie geweckt werden möchten (gesichert).
Der „HTTPREQ"-DNS-Eintrag (Das digitale Siegel):
Dies ist ein spezieller digitaler Stempel, der an die Adresse der Website im Telefonbuch (DNS) angehängt ist. Er verwendet ein kryptografisches Siegel (DNSSEC), das beweist, dass der Website-Betreiber tatsächlich den Status „entsperrt" angefordert hat.- Analogie: Es ist wie ein Wachssiegel auf einem Brief. Wenn das Siegel gebrochen oder fehlt, weiß der Empfänger, dass der Brief nicht offiziell autorisiert war, geöffnet zu werden.
Warum ist dies besser?
Der Artikel behauptet, dass dies drei große Kopfschmerzen löst:
- Keine „Erstbesuchs"-Verwundbarkeiten mehr: Im alten System waren Sie beim allerersten Besuch einer Site verwundbar, bis das „Schloss" heruntergeladen wurde. In diesem neuen System sind Sie sofort verriegelt. Sie werden nur dann entsperrt, wenn die Website nachweist, dass sie es braucht.
- Keine versehentlichen Fehler mehr: Website-Betreiber machen oft Fehler bei ihren Sicherheitseinstellungen. Im alten System bedeutete ein Fehler, dass Ihre Site entsperrt war. In diesem neuen System bedeutet ein Fehler nur, dass Ihre Site verriegelt bleibt (was sicher ist). Sie müssen die Regeln aktiv brechen, um entsperrt zu werden.
- Keine Verfolgung mehr: Einige alte Sicherheitsmethoden ermöglichten es Websites, Sie basierend auf Ihren spezifischen Einstellungen zu verfolgen. Dieses neue System behandelt alle gleich, es sei denn, ein spezifisches, öffentliches Schild sagt etwas anderes, was es schwieriger macht, Benutzer auszuspionieren.
Was ist mit den „heiklen" Fällen?
Die Autoren wissen, dass einige Dinge entsperrt bleiben müssen, wie die Einrichtungsoberfläche Ihres Heim-WLAN-Routers oder ein Captive Portal in einem Café.
- Die Lösung: Das System macht automatisch Ausnahmen für Dinge wie „localhost" (Ihr eigener Computer), IP-Adressen und lokale Netzwerkgeräte. Es erlaubt auch der „Preload List", spezifische Fälle zu behandeln, in denen ein Website-Betreiber nachweist, dass er HTTP benötigt.
Verlangsamt es die Dinge?
Die Autoren haben dies in einem echten Browser (Chromium) getestet und festgestellt:
- Geschwindigkeit: Bei 99 % der Websites (denen, die bereits sicher sind) gibt es keine Verlangsamung. Sie fahren einfach auf der Autobahn.
- Die Kosten: Es wird nur dann etwas langsamer, wenn Sie versuchen, eine alte, entsperrte Website zu besuchen. Der Browser muss das „Digitale Siegel" (DNSSEC) prüfen, um sicherzustellen, dass es sicher ist, einzutreten. Dies fügt eine winzige Verzögerung hinzu (wie das Prüfen einer Karte für ein paar Sekunden), aber es ist ein kleiner Preis für die Sicherheit.
Der Übergangsplan
Die Autoren schlagen eine schrittweise Einführung vor:
- Phase 1: Geben Sie Website-Betreibern Zeit, ihre Sites zu aktualisieren oder sich für die „entsperrte" Liste zu bewerben.
- Phase 2: Browser beginnen, die neue Regel standardmäßig durchzusetzen.
- Phase 3: Schließlich werden alle Internet-Tools (nicht nur Browser, sondern auch Download-Tools und Apps) diese Regel „Sicherheit standardmäßig" verwenden.
Das Fazit
HSTS-Enforced verwandelt das Internet von einem Ort, an dem Sie hoffen müssen, dass Ihr Haus verriegelt ist, in einen Ort, an dem jedes Haus standardmäßig verriegelt ist, und Sie nachweisen müssen, dass Sie die Tür geöffnet benötigen, bevor sie sich entsperrt. Es verhindert, dass Hacker Sie auf die „Schotterstraße" zwingen, und macht das Web für alle sicherer, mit fast keinen Kosten für Geschwindigkeit oder Komfort.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.