Wat is HSTS?

Blog van Vimexx op 30-04-2018

HSTS wordt gebruikt om downgrade-attacks en cookie hijacking tegen te gaan. Hoe dit precies in zijn werk gaat, lees je op deze pagina. Ook lees je in dit artikel wat de voordelen van HSTS zijn.

HSTS: een korte introductie

De afkorting HSTS staat voor HTTP Strict Transport Security. Je gebruikt HSTS om een client, doorgaans is dit een webbrowser, te configureren. Met HSTS stel je namelijk in dat de browser in de communicatie met een specifiek domein altijd gebruik moet maken van een HTTP-verbinding met SSL-certificaat, ook wel een HTTPS-verbinding genoemd. Er wordt nu niet meer geprobeerd een standaard HTTP-verbinding te maken. Op deze manier worden downgrade-attacks voorkomen en kan bovendien cookie hijacking voorkomen worden.

HSTS Preload

Wil je gebruik maken van HSTS? Dan is het mogelijk jouw domein of domeinen aan te melden op de HSTS Preload lijst. Deze lijst wordt door meerdere browsers gebruikt en helpt de browsers bij te houden welke domeinen enkel via HSTS benaderd mogen worden. Je kunt jouw domein of domeinen aanmelden voor HSTS Preload op de website https://hstspreload.org/.

Je kunt jouw domein alleen aanmelden voor HSTS Preload als dit domein aan diverse voorwaarden voldoet. Het gaat om de volgende voorwaarden:

- Het domein moet een geldig certificaat hebben.

- Alle requests op HTTP moeten doorverwezen worden naar hetzelfde domein op HTTPS, niet naar een algemeen domein.

- HSTS moet geconfigureerd zijn met IncludeSubDomains. Dit wil simpelweg zeggen dat niet alleen het hoofddomein, maar ook alle subdomeinen via HTTPS benaderd worden.

- De HSTS header moet in de Preload aanwezig zijn.

Tot slot moet de directief max-age minimaal 18 weken zijn. Dit zijn 10886400 seconden. Alleen als je aan alle voorwaarden van de HSTS Preload voldoet, wordt jouw domein op de Preload lijst gezet. Deze wordt vervolgens aan diverse browsers verstrekt.

De voordelen van HSTS

Het belangrijkste voordeel van HSTS, is dat het gebruik van HSTS de beveiliging van de website op het betreffende domein ten goede komt. HTTP-verbindingen worden niet meer gemaakt met HSTS, maar er wordt altijd gebruik gemaakt van een extra veilige HTTPS-verbinding. Een ander voordeel van HSTS, is het feit dat HSTS de snelheid van een website ten goede komt. Dit komt omdat een eventueel foutieve HTTP-verbinding vanuit de client direct aangepast wordt naar een HTTPS-verbinding. In dit geval hoeft de server de client niet te verwijzen naar de HTTPS-verbinding: dit gebeurt simpelweg vanzelf.

Denk je nu na dit artikel van "Hé! Dat wil ik ook!", niet getreurd! Je kunt het heel eenvoudig zelf activeren aan de hand van het volgende artikel Hoe schakel ik HSTS in?.

Wil je graag reageren op dit blog artikel? Dat kan! Bekijk het topic in ons Vimexx forum!