Veebi turvapäised: praktiline rakendamise juhend

Tänapäeva digitaalsel maastikul on veebiturvalisus esmatähtis. Veebisaidid on pidevalt erinevate rünnakute sihtmärgiks, sealhulgas saidiülene skriptimine (XSS), klikikaaperdamine ja andmesisestusrünnakud. Veebi turvapäiste rakendamine on oluline samm nende riskide leevendamisel ning teie kasutajate ja andmete kaitsmisel. See juhend annab põhjaliku ülevaate peamistest turvapäistest ja nende tõhusast rakendamisest.

Mis on veebi turvapäised?

Veebi turvapäised on HTTP vastusepäised, mis annavad veebilehitsejatele juhiseid, kuidas teie veebisaidi sisu käsitleda. Need toimivad reeglite kogumina, mis ütlevad brauserile, millised toimingud on lubatud ja millised keelatud. Nende päiste õige seadistamisega saate oluliselt vähendada oma veebisaidi rünnakupinda ja parandada selle üldist turvalisuse taset. Turvapäised täiustavad olemasolevaid turvameetmeid ja pakuvad täiendavat kaitsekihti levinud veebiturvanõrkuste vastu.

Miks on turvapäised olulised?

• Levinud rünnakute leevendamine: Turvapäised suudavad tõhusalt blokeerida või leevendada paljusid levinud veebirünnakuid, nagu XSS, klikikaaperdamine ja MIME-nuuskimisrünnakud.
• Kasutajate privaatsuse parandamine: Mõned päised aitavad kaitsta kasutajate privaatsust, kontrollides viitaja teavet ja piirates juurdepääsu brauseri funktsioonidele.
• Veebisaidi turvalisuse taseme parandamine: Turvapäiste rakendamine näitab pühendumust turvalisusele ja võib parandada teie veebisaidi mainet.
• Vastavusnõuded: Paljud turvastandardid ja määrused, nagu GDPR ja PCI DSS, nõuavad või soovitavad turvapäiste kasutamist.

Olulisemad turvapäised ja nende rakendamine

Siin on ülevaade kõige olulisematest turvapäistest ja nende rakendamisest:

1. Content-Security-Policy (CSP)

Content-Security-Policy (CSP) päis on üks võimsamaid turvapäiseid. See võimaldab teil kontrollida allikaid, kust brauseril on lubatud laadida ressursse, nagu skriptid, stiililehed, pildid ja fondid. See aitab vältida XSS-rünnakuid, takistades brauseril teie veebisaidile süstitud pahatahtliku koodi käivitamist.

Rakendamine:

CSP päis seadistatakse `Content-Security-Policy` direktiiviga. Väärtus on direktiivide loend, millest igaüks määrab lubatud allikad konkreetse ressursitüübi jaoks.

Näide:

            Content-Security-Policy: default-src 'self'; script-src 'self' https://example.com; style-src 'self' https://example.com; img-src 'self' data:; font-src 'self'; connect-src 'self' wss://example.com;

            

              
                Copy
              
            
          

Selgitus:

• `default-src 'self'`: Määrab, et kõik ressursid tuleks laadida dokumendiga samast päritolust, kui spetsiifilisem direktiiv ei määra teisiti.
• `script-src 'self' https://example.com`: Lubab skripte laadida samast päritolust ja aadressilt `https://example.com`.
• `style-src 'self' https://example.com`: Lubab stiililehti laadida samast päritolust ja aadressilt `https://example.com`.
• `img-src 'self' data:`: Lubab pilte laadida samast päritolust ja andme-URI-delt (tekstisisesed pildid).
• `font-src 'self'`: Lubab fonte laadida samast päritolust.
• `connect-src 'self' wss://example.com`: Lubab ühendusi (nt AJAX, WebSockets) luua sama päritoluga ja aadressiga `wss://example.com`.

Olulised CSP direktiivid:

• `default-src`: Varudirektiiv, mis kehtib kõigile ressursitüüpidele, kui muud direktiivi pole määratud.
• `script-src`: Kontrollib JavaScripti allikaid.
• `style-src`: Kontrollib stiililehtede allikaid.
• `img-src`: Kontrollib piltide allikaid.
• `font-src`: Kontrollib fontide allikaid.
• `media-src`: Kontrollib heli ja video allikaid.
• `object-src`: Kontrollib pistikprogrammide, nagu Flash, allikaid.
• `frame-src`: Kontrollib raamide ja iframe'ide allikaid.
• `connect-src`: Kontrollib URL-e, millega skript saab ühendust luua (nt AJAX, WebSockets).
• `base-uri`: Piirab URL-e, mida saab kasutada dokumendi <base> elemendis.
• `form-action`: Piirab URL-e, kuhu vorme saab esitada.

CSP ainult raporteerimise režiim:

Enne CSP poliitika jõustamist on soovitatav kasutada ainult raporteerimise režiimi. See võimaldab teil jälgida poliitika mõju ilma ühtegi ressurssi blokeerimata. Selleks kasutatakse `Content-Security-Policy-Report-Only` päist.

Näide:

            Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' https://example.com; report-uri /csp-report-endpoint;

            

              
                Copy
              
            
          

Selles näites raporteeritakse kõik CSP poliitika rikkumised `/csp-report-endpoint` URL-ile. Nende aruannete vastuvõtmiseks ja analüüsimiseks peate seadistama serveripoolse lõpp-punkti. Tööriistad nagu Sentry ja Google CSP Evaluator aitavad CSP poliitika loomisel ja aruandlusel.

2. X-Frame-Options

X-Frame-Options päist kasutatakse klikikaaperdamise rünnakute eest kaitsmiseks. Klikikaaperdamine toimub siis, kui ründaja meelitab kasutaja klikkima millelegi muule, kui ta tajub, sageli paigutades legitiimse veebisaidi pahatahtliku iframe'i sisse.

Rakendamine:

X-Frame-Options päisel võib olla kolm võimalikku väärtust:

• `DENY`: Keelab lehe kuvamise raamis, olenemata päritolust.
• `SAMEORIGIN`: Lubab lehe kuvamist raamis ainult siis, kui raami päritolu on sama mis lehe päritolu.
• `ALLOW-FROM uri`: (Aegunud ja mittesoovitatav) Lubab lehe kuvamist raamis ainult siis, kui raami päritolu vastab määratud URI-le.

Näited:

            X-Frame-Options: DENY
X-Frame-Options: SAMEORIGIN

            

              
                Copy
              
            
          

Enamiku veebisaitide jaoks on `SAMEORIGIN` valik kõige sobivam. Kui teie veebisaiti ei tohiks kunagi raamida, kasutage `DENY`. `ALLOW-FROM` valikut ei soovitata brauseri ühilduvusprobleemide tõttu üldiselt kasutada.

Tähtis: Kaaluge CSP `frame-ancestors` direktiivi kasutamist `X-Frame-Options` asemel parema kontrolli ja ühilduvuse tagamiseks, kuna `X-Frame-Options` loetakse pärandiks. `frame-ancestors` võimaldab teil määrata nimekirja päritoludest, millel on lubatud ressurssi manustada.

3. Strict-Transport-Security (HSTS)

Strict-Transport-Security (HSTS) päis sunnib brausereid teie veebisaidiga suhtlema ainult HTTPS-i kaudu. See hoiab ära vahendusrünnakud, kus ründaja võiks pealt kuulata ebaturvalist HTTP-liiklust ja suunata kasutajad pahatahtlikule veebisaidile.

Rakendamine:

HSTS päis määrab `max-age` direktiivi, mis näitab sekundite arvu, mille jooksul brauser peaks meeles pidama saidile juurdepääsu ainult HTTPS-i kaudu. Saate lisada ka `includeSubDomains` direktiivi, et rakendada HSTS poliitikat kõigile alamdomeenidele.

Näide:

            Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

            

              
                Copy
              
            
          

Selgitus:

• `max-age=31536000`: Määrab, et brauser peaks meeles pidama saidile juurdepääsu ainult HTTPS-i kaudu ühe aasta jooksul (31 536 000 sekundit). Tootmiskeskkondades on üldiselt soovitatav pikem `max-age`.
• `includeSubDomains`: Rakendab HSTS poliitikat veebisaidi kõigile alamdomeenidele.
• `preload`: Näitab, et soovite oma domeeni eel-laadida brauseri HSTS eel-laadimise nimekirja. See on valikuline direktiiv, mis nõuab teie domeeni esitamist Google'i hallatavasse HSTS eel-laadimise nimekirja. Eel-laadimine tagab, et kasutajad, kes ühenduvad teie saidiga esimest korda, kasutavad HTTPS-i.

Tähtis: Enne HSTS-i lubamist veenduge, et kogu teie veebisait ja kõik selle alamdomeenid on HTTPS-i kaudu kättesaadavad. Selle eiramine võib põhjustada kasutajate suutmatust teie veebisaidile juurde pääseda.

4. X-Content-Type-Options

X-Content-Type-Options päis hoiab ära MIME-nuuskimisrünnakud. MIME-nuuskimine on tehnika, kus brauser proovib ära arvata ressursi sisutüüpi, isegi kui server on määranud teise sisutüübi. See võib põhjustada turvanõrkusi, kui brauser tõlgendab faili ekslikult käivitatavaks koodiks.

Rakendamine:

X-Content-Type-Options päisel on ainult üks võimalik väärtus: `nosniff`.

Näide:

            X-Content-Type-Options: nosniff

            

              
                Copy
              
            
          

See päis ütleb brauserile, et ta ei prooviks ressursi sisutüüpi ära arvata ja tugineks ainult serveri määratud `Content-Type` päisele.

5. Referrer-Policy

Referrer-Policy päis kontrollib, kui palju viitaja teavet (eelmise lehe URL) saadetakse teistele veebisaitidele, kui kasutaja teie veebisaidilt lahkub. See aitab kaitsta kasutajate privaatsust, vältides tundliku teabe lekkimist kolmandate osapoolte saitidele.

Rakendamine:

Referrer-Policy päisel võib olla mitu võimalikku väärtust, millest igaüks määrab erineva taseme viitaja teabe saatmiseks:

• `no-referrer`: Ära kunagi saada Referer päist.
• `no-referrer-when-downgrade`: Ära saada Referer päist, kui navigeerid HTTPS-ilt HTTP-le.
• `origin`: Saada ainult dokumendi päritolu (nt `https://example.com`).
• `origin-when-cross-origin`: Saada päritolu, kui navigeerid teisele päritolule, ja saada täielik URL, kui navigeerid samale päritolule.
• `same-origin`: Saada Referer päis sama päritoluga päringute jaoks, kuid mitte ristpäritoluga päringute jaoks.
• `strict-origin`: Saada ainult päritolu, kui protokolli turvatase jääb samaks (HTTPS-ist HTTPS-i), kuid ära saada seda vähem turvalisse sihtkohta (HTTPS-ist HTTP-sse).
• `strict-origin-when-cross-origin`: Saada päritolu, kui navigeerid teisele päritolule, kuid ainult siis, kui protokolli turvatase jääb samaks (HTTPS-ist HTTPS-i). Saada täielik URL, kui navigeerid samale päritolule.
• `unsafe-url`: (Ei ole soovitatav) Saada alati täielik URL Referer päisena. See on kõige vähem turvaline valik.

Näited:

            Referrer-Policy: strict-origin-when-cross-origin
Referrer-Policy: no-referrer

            

              
                Copy
              
            
          

`strict-origin-when-cross-origin` poliitika on sageli hea tasakaal turvalisuse ja funktsionaalsuse vahel. See kaitseb kasutaja privaatsust, saates mitte täielikku URL-i erinevatele päritoludele, kuid võimaldades samal ajal veebisaitidel jälgida põhilist viitamisteavet.

6. Permissions-Policy (varem Feature-Policy)

Permissions-Policy päis (varem tuntud kui Feature-Policy) võimaldab teil kontrollida, milliseid brauseri funktsioone (nt kaamera, mikrofon, geolokatsioon) on teie veebisaidil ja manustatud iframe'ides lubatud kasutada. See aitab vältida pahatahtliku koodi juurdepääsu tundlikele brauseri funktsioonidele ilma kasutaja selgesõnalise nõusolekuta.

Rakendamine:

Permissions-Policy päis määrab direktiivide loendi, millest igaüks kontrollib juurdepääsu konkreetsele brauseri funktsioonile. Iga direktiiv koosneb funktsiooni nimest ja lubatud päritolude loendist.

Näide:

            Permissions-Policy: geolocation 'self' https://example.com; camera 'none'; microphone (self)

            

              
                Copy
              
            
          

Selgitus:

• `geolocation 'self' https://example.com`: Lubab veebisaidil ja aadressil `https://example.com` kasutada geolokatsiooni funktsiooni.
• `camera 'none'`: Keelab kaamera funktsiooni veebisaidi ja kõigi manustatud iframe'ide jaoks.
• `microphone (self)`: Lubab veebisaidil kasutada mikrofoni funktsiooni. Pange tähele erinevat süntaksit sulgudega üksikute päritolude jaoks.

Levinud Permissions-Policy funktsioonid:

• `geolocation`: Kontrollib juurdepääsu geolokatsiooni API-le.
• `camera`: Kontrollib juurdepääsu kaamerale.
• `microphone`: Kontrollib juurdepääsu mikrofonile.
• `autoplay`: Kontrollib, kas meedia saab automaatselt esitada.
• `fullscreen`: Kontrollib, kas veebisait saab siseneda täisekraanirežiimi.
• `accelerometer`: Kontrollib juurdepääsu kiirendusmõõturile.
• `gyroscope`: Kontrollib juurdepääsu güroskoobile.
• `magnetometer`: Kontrollib juurdepääsu magnetomeetrile.
• `speaker`: Kontrollib juurdepääsu kõlarile.
• `vibrate`: Kontrollib juurdepääsu vibratsiooni API-le.
• `payment`: Kontrollib juurdepääsu Payment Request API-le.

7. Muud turvapäised

Kuigi eespool käsitletud päised on kõige sagedamini kasutatavad ja olulisemad, võivad teised turvapäised pakkuda täiendavat kaitset:

• X-Permitted-Cross-Domain-Policies: See päis kontrollib, kuidas Adobe Flash Player ja muud pistikprogrammid käsitlevad domeeniüleseid päringuid. Soovitatav väärtus on tavaliselt `none`.
• Clear-Site-Data: Võimaldab veebisaidil kustutada sirvimisandmeid (küpsised, salvestusruum, vahemälu), kui kasutaja saidilt lahkub. See võib olla kasulik privaatsustundlike rakenduste jaoks.
• Expect-CT: Võimaldab sertifikaatide läbipaistvust (Certificate Transparency), mis aitab vältida pettusega väljastatud SSL-sertifikaatide kasutamist.

Turvapäiste rakendamine

Turvapäiseid saab rakendada mitmel viisil, sõltuvalt teie veebiserverist või sisuedastusvõrgust (CDN).

1. Veebiserveri konfiguratsioon

Saate konfigureerida oma veebiserveri (nt Apache, Nginx) lisama turvapäiseid HTTP vastusesse. See on sageli kõige otsesem ja tõhusam viis turvapäiste rakendamiseks.

Apache:

Saate kasutada `Header` direktiivi oma Apache konfiguratsioonifailis (`.htaccess` või `httpd.conf`) turvapäiste seadistamiseks.

Näide:

            Header set Content-Security-Policy "default-src 'self'; script-src 'self' https://example.com;"
Header set X-Frame-Options "SAMEORIGIN"
Header set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
Header set X-Content-Type-Options "nosniff"
Header set Referrer-Policy "strict-origin-when-cross-origin"
Header set Permissions-Policy "geolocation 'self'"

            

              
                Copy
              
            
          

Nginx:

Saate kasutada `add_header` direktiivi oma Nginx konfiguratsioonifailis (`nginx.conf`) turvapäiste seadistamiseks.

Näide:

            add_header Content-Security-Policy "default_src 'self'; script-src 'self' https://example.com;";
add_header X-Frame-Options "SAMEORIGIN";
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
add_header X-Content-Type-Options "nosniff";
add_header Referrer-Policy "strict-origin-when-cross-origin";
add_header Permissions-Policy "geolocation 'self';";

            

              
                Copy
              
            
          

2. Sisuedastusvõrk (CDN)

Paljud CDN-id, nagu Cloudflare, Akamai ja Fastly, pakuvad funktsioone turvapäiste konfigureerimiseks. See võib olla mugav viis turvapäiste rakendamiseks, eriti kui te juba kasutate CDN-i.

Näide (Cloudflare):

Cloudflare'is saate turvapäiseid konfigureerida, kasutades funktsioone "Rules" või "Transform Rules". Saate määratleda reegleid HTTP päiste lisamiseks, muutmiseks või eemaldamiseks mitmesuguste kriteeriumide alusel, nagu URL või päringu tüüp.

3. Serveripoolne kood

Saate seadistada turvapäiseid ka oma serveripoolses koodis (nt kasutades PHP-d, Pythonit, Node.js-i). See lähenemine annab teile rohkem paindlikkust päiste dünaamiliseks seadistamiseks vastavalt päringule või kasutaja kontekstile.

Näide (Node.js koos Expressiga):

            const express = require('express');
const app = express();

app.use((req, res, next) => {
  res.setHeader('Content-Security-Policy', "default-src 'self'; script-src 'self' https://example.com;");
  res.setHeader('X-Frame-Options', 'SAMEORIGIN');
  res.setHeader('Strict-Transport-Security', 'max-age=31536000; includeSubDomains; preload');
  res.setHeader('X-Content-Type-Options', 'nosniff');
  res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin');
  res.setHeader('Permissions-Policy', "geolocation 'self'");
  next();
});

app.get('/', (req, res) => {
  res.send('Hello World!');
});

app.listen(3000, () => {
  console.log('Server listening on port 3000');
});

            

              
                Copy
              
            
          

Testimine ja valideerimine

Pärast turvapäiste rakendamist on ülioluline testida ja valideerida, et need töötavad õigesti. Selleks on abiks mitmed veebipõhised tööriistad:

• SecurityHeaders.com: See veebisait skannib teie veebisaiti ja annab aruande rakendatud turvapäiste ja võimalike probleemide kohta.
• Mozilla Observatory: See veebipõhine tööriist teostab teie veebisaidil mitmeid teste, sealhulgas turvapäiseid, ja annab üksikasjaliku aruande koos parendussoovitustega.
• Brauseri arendaja tööriistad: Saate kasutada oma brauseri arendaja tööriistu (nt Chrome DevTools, Firefox Developer Tools) HTTP vastusepäiste kontrollimiseks ja veendumaks, et turvapäised on olemas ja neil on õiged väärtused.

Näide Chrome DevTools'i abil:

1. Avage Chrome DevTools (paremklõps lehel ja valige "Uuri").
2. Minge vahekaardile "Network" (Võrk).
3. Laadige leht uuesti.
4. Valige põhidokumendi päring (tavaliselt esimene päring loendis).
5. Minge vahekaardile "Headers" (Päised).
6. Kerige alla jaotiseni "Response Headers" (Vastusepäised), et näha turvapäiseid.

Levinud vead ja parimad praktikad

Siin on mõned levinud vead, mida vältida turvapäiste rakendamisel:

• Ebapiisav testimine: Testige alati oma turvapäiseid testimiskeskkonnas enne nende tootmisse juurutamist.
• Liiga lubavate CSP poliitikate kasutamine: Alustage piirava CSP poliitikaga ja leevendage seda järk-järgult vastavalt vajadusele.
• Unustades lisada alamdomeenid HSTS-i: Kui soovite kaitsta kõiki alamdomeene, veenduge, et lisate `includeSubDomains` direktiivi HSTS päisesse.
• Aegunud päiste kasutamine: Vältige aegunud päiste, nagu `X-Download-Options` ja `X-Powered-By`, kasutamist.
• Turvapäiste rikkumiste jälgimata jätmine: Seadistage süsteem CSP ainult raporteerimise rikkumiste jälgimiseks, et tuvastada ja lahendada kõik probleemid.

Parimad praktikad:

• Alustage tugevast baastasemest: Rakendage vähemalt põhilised turvapäised (CSP, X-Frame-Options, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy).
• Kasutage sisuturbe poliitikat (CSP): Sisuturbe poliitika aitab vältida XSS-rünnakuid, määratledes päritolud, kust brauser peaks usaldusväärselt ressursse laadima.
• Vaadake regulaarselt üle ja uuendage oma turvapäiseid: Uute haavatavuste avastamisel ja brauseritehnoloogiate arenedes on oluline oma turvapäiseid vastavalt üle vaadata ja uuendada.
• Kasutage CDN-i: CDN-id võivad lihtsustada turvapäiste rakendamist ja haldamist.
• Automatiseerige turvapäiste juurutamine: Kasutage automatiseerimistööriistu tagamaks, et turvapäised on järjepidevalt juurutatud kõigis keskkondades.
• Olge kursis: Hoidke end kursis viimaste turvaohtude ja parimate tavadega, jälgides turvablogisid, osaledes turvakonverentsidel ja osaledes turvakogukondades. OWASP (Open Web Application Security Project) on suurepärane ressurss veebiturvalisuse teabe saamiseks.

Kokkuvõte

Veebi turvapäiste rakendamine on oluline samm teie veebisaidi ja kasutajate kaitsmisel levinud rünnakute eest. Mõistes iga päise eesmärki ja järgides selles juhendis kirjeldatud parimaid tavasid, saate oluliselt parandada oma veebisaidi turvalisuse taset ja luua usaldust oma kasutajatega. Ärge unustage oma turvapäiseid regulaarselt testida ja jälgida, et tagada nende tõhus toimimine ja kohaneda arenevate turvaohtudega. Turvapäiste rakendamiseks kulutatud aeg ja vaev tasuvad end pikas perspektiivis ära, kaitstes teie veebisaiti ja kasutajaid kahju eest. Lõpetuseks kaaluge turvaeksperdiga konsulteerimist või turvaauditi teenuse kasutamist, et hinnata oma veebisaidi turvalisust ja tuvastada kõik haavatavused.