Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- hsts [2013/06/28 08:51] – [HTTP Strict Transport Security (HSTS)] bush
+++ hsts [2013/06/28 09:20] – [Einstellung für Apache 2] bush
@@ Zeile 92: / Zeile 92: @@
 \\
+===== Geht's noch sicherer? =====
+Antwort: Auf jeden Fall!
+Das vorliegende Verfahren HSTS (darauf wurde oben schon hingewiesen) ist ja darauf angelegt, beim Aufruf einer Webseite dem Webclient mitzuteilen, dass diese Verbindung in Zukunft immer mit HTTPS herzustellen ist, auch wenn der Benutzer nur die unsichere Variante HTTP wählt.
+Damit ist sofort klar, dass der erste (unsichere!) Verbindungsaufbau von einem Man-in-the-Middle (MitM) abgefangen werden kann. In diesem Fall ist HSTS machtlos, denn der MitM wird die HSTS-Anweisung **garantiert nicht** an den Webclient weiterreichen.
+Deshalb hier einige Tipps für die Nutzer:
+  * Achten Sie darauf, dass Sie sensible Verbindungen - dazu gehören grundsätzlich solche, bei denen ein Login erforderlich ist - von vornherein mit HTTPS aufrufen.
+  * Achten Sie auf das Vorhängeschloss im Adressfeld. Es signalisiert eine verschlüsselte Verbindung.
+  * Verwenden Sie im sensiblen Umfeld Browser, die HSTS unterstützen. Das Whitepaper in den Quellenangaben  am Ende der Seite enthält eine Liste der HSTS-fähigen Browser.
+  * Nutzen Sie, falls möglich Browser-AddOns, die sichere Verbindungen erzwingen können. Damit entfällt die problematische Phase des ersten unsicheren Aufrufs, bevor HSTS greift (s. nächstes Kapitel!).
 ===== Quellen =====

Zuletzt angesehen: