1. HSTS (HTTP Strict Transport Security) 란? 일반적으로 HTTPS를 강제하게 될 때 서버측에서 302 Redirect 를 이용하여 전환(웹서버 설정을 통해)시켜 줄 수 있음. 하지만 이것이 취약점 포인트로 작용될 수 있다.
이러한 이유로 클라이언트 (브라우저) 에게 HTTPS를 강제 하도록 하는 것이 권장되는데, 이것이 HSTS (HTTP Strict Transport Security) 다. 클라이언트 (브라우저)에서 강제 하기 때문에 Plain Text (HTTP) 를 이용한 연결 자체가 최초부터 시도되지 않으며 클라이언트 측에서 차단된다는 장점이 있음.
사용자가 최초로 사이트에 접속시도를 하게 되면 웹서버는 HSTS 설정에 대한 정보를 브라우저에게 응답하게 됨. 브라우저는 이 응답을 근거로 일정시간 (max-age) 동안 HSTS 응답을 받은 웹사이트에 대해서 https 접속을 강제화 함. (Response Header에 Strict-Transport-Security 값으로 존재)
크롬에서는 다음과 같은 명령어로 브라우저에 들어있는 HSTS값이 확인 가능
chrome://net-internals/#hsts
아래의 사이트에서 HSTS가 적용된 사이트인지 확인 가능
https://hstspreload.org
1.1. HSTS의 오점
HSTS를 웹서버에서 리스폰스 헤더로 제공하는건 최초의 HTTP로 연결시에 HSTS 헤더가 내려오기전에 SSL 스트립이 가능한 문제가 여전히 존재. 따라서 웹페이지에 들어가지 않고도 브라우저 내장 preload를 갖추는게 가장 안전한데, 크롬 측에 조건 갖추고 제출하면 크롬 preload 리스트에 들어갈 수 있음. 크롬 리스트는 다른 브라우저도 공유함. // END
2. HSTS (HTTP Strict Transport Security) 의 설정방법 WEBTOB 설정파일(http.m)에서 다음과 같은 설정 추가 *HEADERS HSTS ACTION="AddResponse", FIELDNAME="Strict-Transport-Security", FIELDVALUE="max-age=[시간ms]" *VHOST HEADERS="HSTS",
3. HSTS (HTTP Strict Transport Security) 를 이용한 SSL Strip 방어
MITM (Man in the Middle) 공격을 보안하기 위함. 일반적으로 TLS/SSL로 암호화 된 세션은 중간에서 공격자가 그 내용을 감청하더라도 암호화 되어 있기 때문에 데이터가 보호 될 수 있습니다. 따라서 MITM은 SSL Strip (SSL/TLS 로 암호화 된 세션을 강제로 암호화 하지 않은 HTTP 세션으로 유도) 을 통해 공격
4. SSL 인증서 브라우져 체크 무시 브라우저(internet explorer)에서 CA와 통신이 되지 않을때 브라우저는 사용자에게 경고창을 띄우게 된다. 해당 경고창을 보고 싶지 않을때 사용 "인터넷 옵션 - 고급" [서버의 인증서 해지 확인], [인증서 주소가 일치하지 않은 경우에 경고] 체크 해지 후 브라우저 재시작
5. SSL 인증서와 키값의 쌍이 맞는지 보는법 SSL인증서 파일과 각각의 서버에서 보유하고 있는 개인키 파일의 CN(Common Name) 일치여부 확인 openssl rsa -in default.key -modulus -noout | openssl md5 openssl x509 -in default.crt -modulus -noout | openssl md5
