SSL/TLS深度解析--在Nginx上配置HSTS、CSP與其他

在 Nginx 上配置 HSTS

HTTP響應(yīng)中包含 Strict-Transport-Security 頭實現(xiàn)網(wǎng)站HSTS，像下面這樣配置：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload,就實現(xiàn)了HSTS，即—— HTTP Strict Transport Security，HTTP嚴(yán)格傳輸安全。假設(shè)TLS連接沒有錯誤，兼容的瀏覽器將會在 max-age 參數(shù)指定的保留期內(nèi)激活HSTS。

一旦站點啟用了HSTS，用戶的后續(xù)訪問就會直接進(jìn)入443端口，然而你還需要確保那些訪問到80端口的用戶能被重定向到正確的地址。為了支持這個重定向，而且由于在明文響應(yīng)中HSTS響應(yīng)頭是不被允許的。

需要配置重定向

# 增加HSTS
[root@www conf]# vim nginx.conf  
......
server {
        listen       80;
        server_name  *.test05.com test05.com;
        return 301 https://$host$request_uri;
}
......
add_header Strict-Transport-Security  "max-age=31536000; includeSubDomains; preload"  always ;
# max-age:時間單位是秒,31536000/3600*24 =365天
# always:表示無論哪種請求都將HSTS的頭發(fā)送給客戶端，也包括錯誤響應(yīng)。默認(rèn)情況404等是不發(fā)送HSTS頭的。
# includeSubDomains:參數(shù)指定在當(dāng)前主機(jī)域名及其所有子域上啟用HSTS。
# preload:是一個可選項，是一個為了解決第一次訪問的用戶，無法預(yù)先得知HSTS設(shè)置，而創(chuàng)建的
# 要注意 add_header 這個指令的繼承方式，如果一個子配置塊中設(shè)置了 add_header 指令，那么在上層配置塊中的 add_header 指令是不會被繼承的。如果你需要在子配置中添加額外的 add_header 指令，那么有關(guān)HSTS那部分要復(fù)制到子配置中。

[root@www conf]# ../sbin/nginx -t
nginx: the configuration file /project/nginx1.15.0/conf/nginx.conf syntax is ok
nginx: configuration file /project/nginx1.15.0/conf/nginx.conf test is successful
[root@www conf]# ../sbin/nginx -s reload

成都創(chuàng)新互聯(lián)公司專注于企業(yè)成都營銷網(wǎng)站建設(shè)、網(wǎng)站重做改版、寧波網(wǎng)站定制設(shè)計、自適應(yīng)品牌網(wǎng)站建設(shè)、成都h5網(wǎng)站建設(shè)、成都商城網(wǎng)站開發(fā)、集團(tuán)公司官網(wǎng)建設(shè)、成都外貿(mào)網(wǎng)站建設(shè)、高端網(wǎng)站制作、響應(yīng)式網(wǎng)頁設(shè)計等建站業(yè)務(wù)，價格優(yōu)惠性價比高，為寧波等各大城市提供網(wǎng)站開發(fā)制作服務(wù)。

在 Nginx 上使用 CSP

內(nèi)容安全策略（content security policy，CSP）是一種聲明的安全機(jī)制，可以讓網(wǎng)站運營者能夠控制遵循CSP的用戶代理（通常是瀏覽器）的行為。通過控制要啟用哪些功能，以及從哪里下載內(nèi)容，可以減少網(wǎng)站的***面。

CSP的主要目的是防御跨站點腳本（cross-ste scripting，XSS）***。例如，CSP可以完全禁止內(nèi)聯(lián)的JavaScript，并且控制外部代碼從哪里加載。它也可以禁止動態(tài)代碼執(zhí)行。禁用了所有的這些***源，XSS***變得更加困難。一個網(wǎng)站通過設(shè)置 Content-Security-Policy 響應(yīng)頭啟用所需的CSP策略。

具體規(guī)則：

default-src：默認(rèn)策略

script-src：js腳本

style-src：樣式

img-src：圖片

connect-src：鏈接

font-src：字體

object-src：插件<object>, <embed> 或者<applet>等

media-src: 多媒體<audio>，<video>之類

frame-src：frame

sandbox：沙箱

可取值與含義：

'*':任意來源

'none':任何來源的都不加載

'self':同源，與請求同源的資源可以加載

data 編碼過的資源，例如Base64編碼過的圖片

'unsafe-inline':行內(nèi)代碼可以執(zhí)行

'unsafe-eval':允許動態(tài)代碼執(zhí)行，例如 JavaScript的 eval()方法

https:要求來源是https協(xié)議的

https:// xxx.com:要求來源是https協(xié)議的某個站點

css.test.com:要求來源是某個站點

*.test.com:要求來源是某個站點及其所有的子站點

[root@www ~]# cd /project/nginx1.15.0/conf/
[root@www conf]# vim nginx.conf
......
add_header Content-Security-Policy  "default-src 'self'; img-src * ; object-src *  script-src  www.test05.com" ;
[root@www conf]# ../sbin/nginx -t
nginx: the configuration file /project/nginx1.15.0/conf/nginx.conf syntax is ok
nginx: configuration file /project/nginx1.15.0/conf/nginx.conf test is successful
[root@www conf]# ../sbin/nginx -s reload

nginx 在配置上錯誤所造成的漏洞

[root@www ~]# cd /project/nginx1.15.0/conf/
[root@www conf]# vim nginx.conf
......
# 防止嵌入 到frame 中；避免點擊劫持***
add_header X-Frame-Options  DENY ;
#禁止服務(wù)器自動解析資源類型
add_header X-Content-Type-Options  nosniff ;
#防XSS***
add_header X-Xss-Protection 1;

X-Frame-Options 3個選項值：

DENY:拒絕一個頁以frame方式加載

SAMEORIGIN:同源域名下的頁面，可以用frame方式加載

ALLOW-FROM:允許指定的域名以frame形式加載

點擊劫持，是在某個自身不安全站點的某個頁面上有一個iframe加載了你的網(wǎng)站的某個頁面，***者可以篡改這個iframe，誘使用戶去點擊，所以最好還是禁止iframe去加載你的頁面；或者是同源和個別指定站點可以以frame形式加載你的頁面。

XSS***:跨站腳本***:

X-Xss-Protection:4個選項值:

0:不開啟XSS保護(hù)

1:開啟保護(hù)（瀏覽器中一般默認(rèn)），檢測到跨站點腳本***，瀏覽器將刪除不安全的部分。

1; mode=block 檢測到***，瀏覽器將阻止頁面的呈現(xiàn)

1; report=<reporting-uri> 檢測到跨站點腳本***，瀏覽器將清理頁面并報告違規(guī)行為。這使用CSP report-uri功能發(fā)送報告；只有chrome支持發(fā)送報告。

nosniff 是禁止嗅探 ，服務(wù)器提示客戶端一定按照 Content-Type 首部中的 MIME 類型來解析，而不能對其進(jìn)行修改。

禁用了客戶端的 MIME 類型嗅探行為，防止惡意代碼的注入。開啟X-Content-Type-Options 要注意，要保證所傳輸?shù)膬?nèi)容都要有正確 Content-Type 屬性，要是沒有這個屬性，可能會造成加載不成功和無法運行；因為關(guān)閉了瀏覽器自動識別這一項。有些瀏覽器 如 IE9 ，IE11 在無法獲得類型時，就不加載內(nèi)容。

nginx配置中的 目錄穿透隱患：要確保配置的路徑和alias 配置的路徑 ，

要都有 / ；或者都沒有 /

• 正確配置

location /download/ {
                autoindex on;
                alias /project/nginx1.15.0/files/;
        }

• 有安全隱患的配置

location /download {
                autoindex on;
                alias /project/nginx1.15.0/files/;
        }

分享文章：SSL/TLS深度解析--在Nginx上配置HSTS、CSP與其他
網(wǎng)頁路徑：http://muchs.cn/article36/ihcpsg.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供手機(jī)網(wǎng)站建設(shè)、App設(shè)計、軟件開發(fā)、網(wǎng)站制作、商城網(wǎng)站、外貿(mào)建站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)