Poznáte nejaké HTTP hlavičky? Určite áno. A viete aj že niektoré tieto hlavičky zvyšujú bezpečnosť webu? Nie? V tom prípade sa uvidíme, pretože sa budeme rozprávať o kadejakých hlavičkách, ktoré spravia web bezpečnejší. Tomáš je informatik, fotograf, športovec ale vo svojej podstate bezpečnostný paranoik, ktorý nemá prelepenú webkameru na notebooku.

1. HTTP hlavičky
Zvyšovanie bezpečnosti webových aplikácií
Tomáš Adamják
24. máj 2016
WEBtlak #6

2. Bruce
Schneier

4. Michal
Špaček

6. Host
GET /file HTTP/1.0
Host: webtlak.sk
$ SERVER[’HTTP HOST’] == ’webtlak.sk’;
Tomáš Adamják WEBtlak #6 6

7. Host
GET http://webtlak.sk/file HTTP/1.0
Host: každý Tomáš je super
$ SERVER[’HTTP HOST’] == ’každý Tomáš je super’;
Tomáš Adamják WEBtlak #6 7

8. Host
Aj $ SERVER[’HTTP HOST’] je používateľský vstup.
⇓
echo htmlspecialchars($ SERVER[’HTTP HOST’]);
Tomáš Adamják WEBtlak #6 8

9. Port knock
/admin → 404
/admin/knoct → 302
/admin → 200
Tomáš Adamják WEBtlak #6 9

10. Cross-Site Scripting
X-XSS-Protection: 0
X-XSS-Protection: 1
X-XSS-Protection: 1; mode=block
Tomáš Adamják WEBtlak #6 10

11. Cross-Site Scripting
X-XSS-Protection
IE 8+
Chrome
Safari 4+
Mozilla Firefox
Tomáš Adamják WEBtlak #6 11

12. Session Hijacking
Tomáš Adamják WEBtlak #6 12

13. HTTP-Only cookies
PHP
session.cookie httponly: true
session.cookie secure: true
Tomáš Adamják WEBtlak #6 13

14. Content-Security-Policy
default-src ’none’
script-src ’unsafe-inline’
script-src cdnjs.cloudflare.com
Tomáš Adamják WEBtlak #6 14

15. Clickjacking
X-Frame-Options
DENY
SAMEORIGIN
ALLOW-FROM
Tomáš Adamják WEBtlak #6 15

16. Ďalšie
X-Content-Type-Options
HTTP Strict Transport Security
Tomáš Adamják WEBtlak #6 16

17. The End
Ďakujem sa pozornosť :-)
fb.com/thomas.adamjak
thomas.adamjak.net
Tomáš Adamják WEBtlak #6 17