Ders 2.8: Güvenlik başlıkları

Tarayıcıya sitenin kullanıcılarını savunmasını söyleyen yanıt başlıkları: HSTS (her zaman HTTPS kullan), Content-Security-Policy (hangi betikler çalışabilir), X-Frame-Options ve frame-ancestors (çerçeveye alma yok, tıklama korsanlığına karşı), X-Content-Type-Options (dosya türü tahmini yok) ve Referrer-Policy (bir sonraki site ne öğrenir). Ve yalnızca saldırganların işine yarayan başlıklar: sürüm numaraları. Laboratuvarda mağaza iyilerin hiçbirini göndermiyor, kötülerden ikisini gönderiyor. Onları nginx yapılandırmasına ekliyor, nginx -t ile sınıyor, nginx yeniden yüklenene kadar hiçbir şeyin değişmediğini görüyor, yeniden yüklüyor ve sonucu kanıtlıyorsun.

19 dk

Bu derste öğreneceklerin

HSTS, CSP, X-Frame-Options, X-Content-Type-Options ve Referrer-Policy'nin ne yaptığını açıklamak
Tıklama korsanlığını açıklamak
nginx'te add_header … always ile yanıt başlıkları eklemek
Bir yapılandırmayı nginx -t ile sınamak ve yeniden yüklemeyle uygulamak
Yanıtlardan sürüm bilgisini kaldırmak

Temel terimler

HSTS (katı HTTPS): Strict-Transport-Security: tarayıcıya, biri http:// yazsa bile, belirtilen süre boyunca bu site için yalnızca HTTPS kullanmasını söyler.
İçerik Güvenliği Politikası (CSP): Sayfanın betikleri, stilleri, görselleri ve çerçeveleri nereden yükleyebileceğini listeleyen başlık; tarayıcı geri kalan her şeyi engeller.
Tıklama korsanlığı: Bir siteyi başka bir sayfadaki bir çerçevede görünmez şekilde yükleyip ziyaretçinin farkında olmadan onun düğmelerine tıklamasını sağlamak.
X-Content-Type-Options: nosniff değeriyle tarayıcının bir dosyanın türünü içeriğinden tahmin etmesini engeller; böylece yüklenmiş bir metin dosyası asla betik olarak çalıştırılmaz.
Referrer-Policy: Tarayıcının mevcut URL'nin ne kadarını Referer başlığında bir sonraki siteye göndereceğini belirler.
Yeniden yükleme: Çalışan bir hizmete durmadan yapılandırmasını yeniden okumasını söylemek.

← IPv4 adresleri, ikilik sayılar ve alt ağ maskesi · Tüm dersler · Tehdit aktörleri ve motivasyonları →