HTTP Headers là một phần của giao thức HTTP trường đoản cú phiên bản 1.0, nó được dùng làm định nghĩa những metadata vào cả HTTP request và response. Trong lúc HTTP body thường được áp dụng và đọc bởi fan dùng, thì metadata chỉ được xử lý vì trình chú ý web.

Bạn đang xem: X-content-type-options là gì

Trong một request, metadata thường bao gồm các tin tức như:

Ngôn ngữ của request

Cookies

Thông tin singin của website

Dữ liệu cache

Trong một response, metadata thường bao hàm các thông tin như:

Dữ liệu Server

Thời gian, ngày tháng

Thông tin đăng nhập do client đặt

Tuỳ chọn bộ lưu trữ cache

Security Headers là những HTTP headers để xác minh xem đề xuất kích hoạt hay hủy kích hoạt một bộ các biện pháp phòng ngừa bảo mật thông tin trên trình phê chuẩn web. HTTP Security Headers là một phần cơ bạn dạng của bảo mật thông tin website, giúp kháng lại các cuộc tiến công mà website gồm nguy cơ chạm chán phải cao như: MIME types, clickjacking, code injection, XSS...

Trong nội dung bài viết này, chúng tôi sẽ chỉ dẫn 5 HTTP Security headers đặc biệt nhất mà chúng ta nên cấu hình trên web vps để nâng cấp bảo mật đến website, bao gồm vai trò của từng header là gì và đa số cuộc tấn công nào rất có thể được tiến hành khi cấu hình sai header đó:

HTTP Strict Transport Security (HSTS)

HSTS là một trong cơ chế buộc các trình chu đáo sử dụng kết nối web an toàn. Giả dụ một trang web được trang bị HSTS, máy chủ sẽ buộc trình duyệt giao tiếp qua HTTPS (HTTP Secure). Điều này ngăn ngừa chuyển phía request trường đoản cú HTTPS mang đến HTTP.

Trước khi thông số kỹ thuật header này, cần đảm bảo tất cả website có thể truy cập được qua HTTPS nếu không chúng có khả năng sẽ bị chặn.

HSTS header được hỗ trợ trên tất cả các phiên bản mới độc nhất của trình chăm chút như IE, Firefox, Opera, Safari với Chrome.

Có tía tham số cấu ngoài ra sau:

Max-age: Thời lượng (Tính bởi giây) để khẳng định thời gian được truy cập server chỉ trải qua HTTPS. Quý hiếm mặc định là 31536000 giây (1 năm). Đây là độ tuổi về tối đa nhưng mà HSTS đúng theo lệ. Server cập nhật chúng với tất cả response mới, cho nên ngăn quán triệt nó không còn hạn.

Include
Sub
Domains: cấu hình subdomains, kiểm soát các subdomains của website.

Preload: Sử dụng nếu còn muốn đưa trang web vào list preload. Đây là danh sách các trang web được mã hóa cứng vào Chrome. Sử dụng formnàyđể thêm. Danh sách này được duy trì bởi Google nhưng các trình để mắt tới khác cũng sử dụng nó. Danh sách preload có thể được kiếm tìm thấy ởđây.

Nguy cơ tấn công: nếu như không kích hoạt HSTS, lúc nạn nhân kết nối với Wi-Fi mở phía bên trong sự kiểm soát của kẻ tấn công, sau đó truy cập một website qua HTTP sẽ có thể chấp nhận được kẻ tiến công chặn request và đọc thông tin gửi lên server. Nếu người tiêu dùng đã truy vấn website trước đó, các HSTS headers được lưu lại trong trình duyệt tự động kết nối hệ thống qua HTTPS.

Cú pháp:

Strict-Transport-Security: max-age=Strict-Transport-Security: max-age=; include
Sub
Domains
Strict-Transport-Security: max-age=; preload
Ví dụ:

Strict-Transport-Security: max-age=31536000; include
Sub
Domains; preload

Content Security Policy (CSP)

CSP cung cấp cho cai quản trị viên kiểm soát điều hành website bằng phương pháp hạn chế tài nguyên mà người tiêu dùng được phép download trong website. Rất có thể đưa whitelist vào câu chữ của website. Giả dụ được thực thi đúng cách, header này sẽ ngăn ngừa việc khai quật Cross-Site Scripting (XSS) , Click
Jacking cùng HTML... Tuy vậy không sa thải hoàn toàn các kĩ năng tấn công này, nhưng chắc chắn giảm thiểu thiệt hại. Hầu hết các trình duyệt chính đều cung ứng CSP.

Được ra mắt vào tháng 11 năm 2012, CSP thêm 1 lớp bảo mật chống lại nhiều lỗ hổng bảo mật website. CSP sẽ trở thành công cụ đặc trưng nhất cho bảo mật thông tin phía trang bị khách sau này gần, bởi vì nó rất có thể thay thế cho các tiêu đề bảo mật như: X-Frame-Options, X-XSS-Protection, là 2 thông số kỹ thuật không được nhảy theo khoác định.

Tất cả các trình để mắt không cung cấp CSP, vị vậy yêu cầu xác minh trước khi triển khai.

Có các tham số hoàn toàn có thể thực hiện CSP. Tuy nhiên, bọn họ hãy xem 2 tham số được sử dụng nhiều nhất:

default-src: Tải đầy đủ thứ tự một

nguồn xác định.

script-src: Chỉ tải các tập lệnh từ nguồn được xác định.

Cú pháp:

Content-Security-Policy: ; Ví dụ:

Content-Security-Policy: script-src "self" https://example.com
CSP này chỉ chất nhận được tải hồ hết thứ qua domain bây giờ hoặc quahttps://example.com.

Cross Site Scripting Protection (X-XSS)

X-XSS header bảo đảm an toàn chống lại các cuộc tấn công Cross-Site Scripting (XSS). Bộ lọc này nhằm mục tiêu phát hiện đầu vào HTML nguy khốn và chống website mua hoặc xóa những tập lệnh độc hại.

Xem thêm: Thuật Ngữ Direct Traffic Nghĩa Là Gì, Direct Traffic Google Analytics Là Gì

X-XSS được nhảy trong Chrome, IE và Safari theo mặc định, nó bao gồm 4 chế độ:

0: bộ lọc XSS bị vô hiệu hóa.

1: cỗ lọc XSS được kích hoạt và đảm bảo trang trường hợp phát hiện tại tấn công.

1; mode=block: bộ lọc XSS được kích hoạt và ngăn chặn hiển thị trang trường hợp phát hiện nay tấn công.

1; report=https://example.com: bộ lọc XSS được kích hoạt và báo cáo vi phạm nếu như phát hiện nay cuộc tấn công.

Cú pháp:

X-XSS-Protection: 0X-XSS-Protection: 1X-XSS-Protection: 1; mode=block
X-XSS-Protection: 1; report=Ví dụ:

X-XSS-Protection: 1; mode=block; report=https://example.com

X-Frame-Options

Một kỹ thuật giả mạo có tên là "Clickjacking" khá phổ biến. Trong kỹ thuật này, kẻ tấn công đánh lừa người dùng nhấp vào thứ nào đấy không gồm ở website. Khi người tiêu dùng đang sống trên trang web chính thức, nhưng gồm một process (tiến trình) khác đang hoạt động nền. Trong quá trình này, có thể có những thông tin của người tiêu dùng đang bị tấn công cắp. X-Frame-Options giúp đảm bảo an toàn chống lại hiệ tượng tấn công kiểu này bằng cách vô hiệu hóa những iframe tất cả trên website. Nói phương pháp khác, nó không được cho phép người không giống nhúng iframe vào vào website của bạn.

Có 3 tùy chọn mang đến X-Frame-Options:

SAMEORIGIN: Iframe vào website chỉ được phép từ và một nguồn gốc.

DENY: phòng chặn ngẫu nhiên tên miền nào nhúng văn bản vào website bằng cách sử dụng iframe.

ALLOW-FROM: Chỉ được cho phép iframe bên trên URI thế thể.

Nguy cơ tấn công:

Kẻ tấn công rất có thể lừa người dùng truy cập một trang web độc hại, một iframe vô hình dung được sở hữu sẵn. Khi người dùng nhấp vào iframe, những các tin tức bị ăn cắp và được gửi mang lại server khác. Dẫn tới việc lộ tin tức hoặc kẻ tiến công cắp có thể thực hiện hành động xấu như xoá tài khoản, đưa tiền,...

Cú pháp:

X-Frame-Options: DENYX-Frame-Options: SAMEORIGINX-Frame-Options: ALLOW-FROM https://tokyotechlab.com

X-Content-Type-Options

X-Content-Type header hỗ trợ biện pháp phòng chặn khủng hoảng bảo mật theo MIME type. Nó gợi ý trình cẩn thận theo các MIME type được chỉ định trong tiêu đề. Trường hợp header này trống hoặc bị thiếu, trình chăm sóc phân tích văn bản và hiển thị theo cách cân xứng nhất.

X-Content-Type hoạt động như sau:

Trình lưu ý web đã request (yêu cầu) một tập tin. Server vẫn response (trả về) một tệp với X-Content-Type header.

Trình coi xét phân tích tệp này khẳng định định dạng tệp.

Sau khi tiến hành phân tích, trình coi sóc sẽ so sánh tác dụng với tác dụng được gửi do máy chủ. Nếu có sự không phù hợp, trình chuẩn y sẽ sử dụng định dạng vẫn xác định.

Điều này có thể dẫn mang lại một lỗ hổng bảo mật. Để chống trình duyệt phân tích ngôn từ của trang và quyết định sử dụng MIME type nào, hãy áp dụng tiêu đề X-Content-Type-Options với giá trị nosniff

Nguy cơ tấn công:

Website có thể chấp nhận được người dùng mua lên một tệp hình ảnh và xác thực phần không ngừng mở rộng của nó. Người dùng tải lên một tệp hình ảnh với phần không ngừng mở rộng jpg hoặc png tuy thế tệp này có chứa mã HTML độc hại. Trình để ý sẽ xác minh tệp là HTML và thực hiện trong trình duyệt.

Header này dành cho trình chuyên chú IE và Chrome.

Cú pháp:

X-Content-Type-Options: nosniff

Cách soát sổ HTTP security headers

Kiểm tra thông qua tab network trên trình duyệt

Trên đây là những kiến thức cơ phiên bản về HTTP Headers và cách cấu hình thiết lập HTTP Security Headers để phòng chặn tiến công từ bên ngoài. Hãy follow Tokyo Tech Lab Academy để hiểu biết thêm nhiều kiến thức về lập trình sẵn nhé!

Trong bài viết về nội dung Security Policy