Java架构师第五步——HTTP协议详解，HTTP安全（二）（读书笔记）

HTTP安全

HTTP协议是不安全的，如果没有SSL做底层支持，用HTTP Basic Authentication很容易让攻击者监听并获取到用户名和密码的信息。有人说用Base64做encode，这是没用的，攻击者获取到用户名密码后用Base64来decode一下就好了，那么为什么大多数情况我们传输的时候都要用Base64来encode呢？按照wiki上的说法： 编码这一步骤的目的并不是安全与隐私，而是为将用户名和口令中的不兼容的字符转换为均与 HTTP协议 兼容的字符集。

 

HTTP安全头部

由于HTTP是一个可扩展的协议，各浏览器厂商都率先推出了有效的头部，来阻止漏洞利用或提高利用漏洞的难度。了解它们是什么，掌握如何应用，可以提高系统的安全性。

1.Content-Security-Policy

怎么才能尽可能不遭受XSS攻击呢？如果有人在你的服务器上写了如下代码浏览器可能不去解析？<script>alert(1);</script>，

下面是内容安全规范中的说明。

添加内容安全规范头部并赋以适当的值，可以限制下面属性的来源：

script-src: JavaScript code (biggest reason to use this header)
connect-src: XMLHttpRequest, WebSockets, and EventSource.
font-src: fonts
frame-src: frame ulrs
img-src: images
media-src: audio & video
object-src: Flash (and other plugins)
style-src: CSS

需要特别指定的：

Content-Security-Policy: script-src 'self' https://apis.google.com

 

这就意味着脚本文件只能来自当前文件或apis.google.com（谷歌的JavaScript CDN）

遗憾的是IE还是只支持沙盒模式，并且用的是“X”前缀。安安卓它支持最新的4.4版。当然，它也不是万能的，如果你动态的产生一个JavaScript，黑客还是能把恶意JS植入你的服务器中。包含它不会产生危害，在Chrome、 Firefox 和 iOS都能保护用户。

 

2. X-Frame-Options

它能阻止点击挟持攻击，只需一句：

X-Frame-Options: DENY

这可使浏览器拒绝请求该页的数据。 它的值还有“SAMEORIGIN”，可允许同一源的数据。以及“ALLOW FROM http://url-here.example.com”，它可设置源（IE不支持）。

 

3. X-Content-Type-Options

让用户上传文件具有危险性，提供文件上传服务的危险更大，而且很难做到万无一失。
浏览器进行二次猜测服务的Content-Type并不容易，即使内容是通过MIME嗅探获取的。
X-Content-Type-Options头允许你更有效的告知浏览器你知道你在做什么，当它的值为“nosniff”是才表明Content-Type是正确的。

 

4. Strict-Transport-Security

HTTP的Strict-Transport-Security（HSTS）头部强制浏览器使用HTTPS在指定的时候。比如说，如果你进入 https://hsts.example.com，它会返回这样的头部：

Strict-Transport-Security: max-age=31536000; includeSubDomains

当然如果使用了HTTPS，就可不必使用此头部了，所以说为什么不用HTTPS呢？切记HTTPS不仅能保证你的内容被加密、不被拦截，还能提供真实性。

 

总结

使用以上HTTP头部可帮你快速容易地预防XSS攻击、点击挟持攻击、MIME嗅探和中间人攻击

转载于:https://my.oschina.net/u/3448620/blog/983107