Introducción a HSTS

Transcript

1. HSTS WTF?
3. HTTP Strict Transport Security
4. Asegurar que la comunicación no encriptada no es permitida en nuestro sitio para mitigar ataques como por ejemplo SSL-stripping.
6. ¡BIEN!
8. ¡MAL!
9. 1. El usuario va a preyproject.com 2. El browser agregará el http:// y hará el request a http://preyproject.com 3. El server responderá con un 301 a https://preyproject.com 4. El browser hace el request a https://preyproject.com HSTS disabled
10. HSTS enabled 1. El usuario va a preyproject.com 2. HSTS convertirá automáticamente el link de HTTP a HTTPS
11. Compatibilidad Chrome, Firefox, Opera desde hace 3 versiones. Safari 7.0 IE 12+
12. El header Strict-Transport-Security: max-age:31536000; includeSubdomains
14. Nginx add_header Strict-Transport-Security "max-age=31536000; includeSubDomains"; Rails config.force_ssl = true La config
15. PRELOAD LISTS
16. ¿Preguntas? Boris Quiroz SRE Preyproject.com