Протокол HTTPS и уязвимости сайта: безопасные связи

Как сообщает Google, количество взломов сайтов в интернете выросло на 32% в 2016 году по сравнению с предыдущим годом, и данная тенденция продолжит свое развитие. Возможно, это может быть удивительным, учитывая усиление уровня безопасности сайтов как в количестве, так и в качестве. Тем не менее, статистические данные не дают повода расставаться с осторожностью, особенно когда дело касается защиты сайтов от хакеров. В этой статье мы рассмотрим технические аспекты безопасного протокола соединения HTTPS, стандарты сертификации безопасности сайтов и различные виды уязвимости порталов.

Атаки на веб-ресурсы обычно нацелены на сайты, такие как банки, мобильные операторы, компании, известные медиапорталы и правительственные учреждения. Они обозначают эти сайты, потому что они могут принести огромную прибыль, а также дать доступ к записи ценной информации. Даже те сайты, которые привлекают небольшое количество посетителей в день, могут также потерпеть поражение от киберпреступников.

Собственникам небольших сайтов не следует отчаиваться, думая, что они не будут стать жертвой хакеров. Небольшие сайты часто использовались в качестве тренировочной площадки для атаки на крупные порталы. Или они могут стать жертвой массовой атаки, когда сотни или тысячи ресурсов выбираются по определенному принципу. Считается, что каждый третий сайт может быть подвергнут атакам со стороны злоумышленников, которые постоянно исследуют возможные уязвимости, обнаруженные на сайтах. Поэтому главным приоритетом владельца сайта является максимально возможное обеспечение безопасности сайта от возможных угроз, чтобы сохранить важные данные и свои деньги.

Существуют различные виды уязвимостей, которые могут быть использованы злоумышленниками для взлома сайтов. Термин "уязвимость" происходит от английского слова "vulnerability" и означает наличие проблем в программной кодировке сайта или его приложениях, через которые возможно нарушение работы системы. А наличие уязвимостей часто связано с ошибками при программировании, проектировании сайта или использовании ненадежных паролей. Уязвимости позволяют злоумышленникам запустить веб-приложения, совершающие действия, на которые у злоумышленников нет прав.

Среди основных видов уязвимостей наиболее распространены следующие:

• Недочеты в системе аутентификации и управлении сессией
• Небезопасные прямые ссылки на объекты
• Небезопасная конфигурация
• Утечка чувствительных данных
• Отсутствие контроля доступа к функциональному уровню
• Использование устаревших компонентов
• Невалидированные основные и внешние переадресации
• Кликджеккинг

Очень важно понять, что даже одна уязвимость может привести к серьезной угрозе безопасности сайта. Поэтому необходимо обеспечивать надежную защиту для своих сайтов и приложений, используя все доступные средства защиты.

Протокол передачи данных HTTP не обеспечивает достаточной защиты данных и оставляет их подверженными угрозам хакеров. В целях гарантированной безопасности информации был разработан протокол HTTPS, использующий криптографическую систему SSL/TLS для шифрования всех передаваемых данных и защиты соединения через незащищенный канал.

Соединение по протоколу HTTPS устанавливается путем генерации общего секретного ключа между компьютером пользователя и сервером, после чего данные шифруются с использованием этого ключа. Новый ключ создается каждый раз при установке соединения, поэтому его перехват или подбор практически невозможен, так как он содержит более 100 знаков. Также для обеспечения безопасности соединения используется цифровой сертификат для проверки подлинности сервера. Браузер перед началом обмена данными автоматически проверяет подлинность сертификата и только после его подтверждения начинает передачу информации.

Перевод сайта на протокол HTTPS – процесс, который на первый взгляд может показаться сложным, но на самом деле состоит всего из нескольких простых шагов.

Шаг 1. Получение и настройка сертификата.

Для получения сертификата можно обратиться в центры сертификации и заплатить за эту услугу или воспользоваться бесплатными вариантами. Небольшие фирмы могут использовать бесплатные сертификаты, но крупные компании чаще предпочитают платные сертификаты с расширенной аутентификацией и другими удобствами. Бесплатные сертификаты могут увеличивать время передачи данных, а также не подходят для сайтов, где принимаются онлайн-платежи. Независимо от того, платный ли сертификат, его необходимо настроить и выполнить переадресацию всех http-запросов на https.

Шаг 2. Работа с внутренними ссылками.

После установки сертификата необходимо заменить ссылки внутри сайта с полных на относительные с помощью скриптов. Это поможет избежать ситуации, когда после перехода на протокол HTTPS происходит загрузка смешанного контента, что не обеспечивает полноценной защиты и может привести к неработоспособности сайта.

Шаг 3. Переадресация.

После установки сертификата сайт станет доступен по двум адресам, поэтому нужно настроить прямой редирект «301» с http на https. Это можно сделать на сервере или в файле .htaccess. После выполнения этого шага все http-запросы будут автоматически переадресовываться на сайт с протоколом HTTPS.

Шаг 4. Внесение изменений в файл robots.txt.

Чтобы поисковые роботы могли обнаружить сайт с измененным протоколом, нужно указать этот протокол в файле robots.txt.

Шаг 5. Включение HTTPS Strict-Transport-Security.

Этот процесс индивидуален для каждого сервера, поэтому для облегчения задачи следует обратиться к специалистам, которые разрабатывали сайт. Наконец, необходимо включить Secure Cookies для надежной защиты информации на сайте.

Вот и все, теперь ваш сайт переведен на протокол HTTPS!

Как выбрать сертификат безопасности для сайта (TLS/SSL)

При выборе сертификата безопасности для вашего сайта, вы можете выбрать один из двух путей. Если у вас небольшой офлайн-бизнес или личный блог, и вы просто хотите донести информацию о своей компании до потенциальных клиентов, лучшим выбором будет Domain Validation SSL. Этот вид сертификата не позволяет защищать субдомены и не подходит для проведения финансовых операций через сайт, однако его можно получить быстро и просто, подтвердив свое владение доменом. Это можно сделать несколькими способами: через e-mail, через запись в DNS и через хэш-файл. Стоимость таких сертификатов бывает относительно невелика, например, всего 610 рублей в год.

Для владельцев сайтов, на которых предполагаются финансовые онлайн-операции, необходимо установить сертификаты типа Business Validation. Этот вид сертификата более надежный, поскольку подтверждает не только владение доменом, но и связь компании с сайтом. Для получения такого сертификата необходимо отправить в верификационный центр пакет документов и принять звонок на корпоративный номер. Виды сертификатов Business Validation включают:

• Extended Validation SSL – это сертификаты с расширенной проверкой, которые обычно используются банками, платежными системами, крупными интернет-магазинами и всеми, кто работает с большими объемами денег.
• Wildcard SSL – данный сертификат защищает сам сайт и его поддомены. Он используется тогда, когда вы предполагаете наличие нескольких поддоменов с разной региональной привязкой.
• SAN SSL – поддерживает внешние и внутренние альтернативные доменные имена.
• CodeSigning SSL – данный сертификат подтверждает безопасность кодов и программных продуктов с сайта, что очень полезно разработчикам приложений.

Независимо от выбранного сертификата, вам необходимо сгенерировать запрос на его получение, содержащий всю информацию о владельце домена и открытый ключ. Затем запрос направляется в центр верификации, после чего выдаются сертификат и файл с ключом. Файл с ключом ни в коем случае не должен попадать в открытый доступ. Стоимость сертификатов такого типа может быть несколько сотен тысяч рублей. К примеру, приблизительная стоимость Symantec Secure Site Wildcard составляет от 281 967 рублей в год.

Независимо от того, какую стоимость вы готовы заплатить, необходимо понимать, что проведение онлайн-операций без сертификата безопасности – это неприемлемо. Безопасность ваших данных на сайте должна быть приоритетной задачей, и лучше потратить деньги и время на обеспечение этой безопасности, чем затем тратить эти же ресурсы на востановительные меры и борьбу с негативной репутацией, которую может причинить взлом вашего сайта. Если ваш сайт связан с онлайн-торговлей, то безопасность должна быть вашим главным приоритетом.

Это не полный список известных уязвимостей, а новые появляются все чаще и чаще. Сегодня мы остановимся только на одном типе уязвимости — небезопасной передаче данных и рассмотрим ключевые виды атак, связанных с ней. За последнее время, около 73% взломов сайтов, например, в мобильных банковских системах, были связаны с этой уязвимостью.

В интернете каждое действие является обменом данными. Когда пользователь заходит на сайт или отправляет сообщение в социальной сети, компьютер отправляет запрос серверу и получает ответ. Обычно, этот обмен осуществляется по протоколу HTTP. Протокол устанавливает правила обмена данными, и благодаря ему содержание сайта загружается на устройство.

Однако, хотя протокол HTTP очень удобен в использовании, данные, которые по нему передаются, абсолютно не защищены. Эти данные передаются в открытом виде. На пути от пользователя до сервера информация многократно проходит через различные промежуточные узлы. Если злоумышленник получит доступ к хотя бы одному из этих узлов, он сможет легко перехватить передаваемые данные. В корне уязвимости лежит небезопасность передачи данных и риски, связанные с этим важным моментом.

Ниже приведены некоторые из видов атак, вызванных небезопасной передачей данных:

Кража паролей — одна из основных причин взлома административной части сайта или аккаунта. Такая ситуация может возникнуть, если пароль был слишком простым или когда используется устаревшая версия браузера. Некоторые владельцы сайтов до сих пор используют открытый канал для аутентификации, что создает возможность для мошенников перехватить пароли.

Кража паролей является одним из наиболее распространенных преступлений в Интернете. Согласно статистике, каждый год 15% пользователей становятся жертвами мошенничества с кредитными картами или кражи персональных данных. Злоумышленники, получив доступ к сайту через украденный пароль, имеют доступ ко всей конфиденциальной информации о клиентах. Они могут использовать эту информацию с выгодой для себя, например, снять деньги с банковских карт.

Некоторые мелкие интернет-магазины, форумы и торрент-трекеры нередко пренебрегают защитой паролей. Хакеры, зная об этом, атакуют именно эти сайты. В августе 2014 года хакерская группировка CyberVor из России похитила 4,5 млрд учетных записей. Логины и пароли были украдены с 420 000 веб-сайтов. Наибольшая база учетных данных попала в руки преступников, по оценке американской компании, занимающейся информационной безопасностью, HoldSecurity.

Надо отметить, что крупные сервисы, такие как банки, постоянно работают над защитой своих паролей. В то время как некоторые недобросовестные владельцы сайтов могут столкнуться с серьезными последствиями вследствие недостаточной защиты паролей на их сайтах.

В последнее время все чаще взломы сайтов происходят из-за ошибок хостинг-провайдеров. Это обусловлено тремя причинами.

Во-первых, причиной может быть устаревшее программное обеспечение, установленное на сервере. Это становится проблемой, так как взломщикам проще взломать сайт, работающий на устаревшей системе, чем на самой новой.

Во-вторых, взлом происходит через соседние аккаунты. В большинстве случаев сайты размещаются не на отдельных серверах, а на общих. Рядом с вашим сайтом может работать другой сайт, который не защищен. Как только он взломан, мошенник легко обращается к другим аккаунтам на сервере.

В-третьих, взлом может произойти из-за экономии на выборе хостинг-провайдера. Например, вы можете остановить свой выбор на услугах знакомого вам программиста, который будет отвечать за сервер. Но если он не компетентен в вопросах безопасности, сервер может быть взломан через уязвимые компоненты и настройки.

Недавно, в начале года, хакерская группировка взломала серверы Freedom Hosting II, специализирующегося на подпольном хостинге. В результате было скомпрометировано более 10 000 сайтов сети Tor, а также была похищена база данных, содержащая адреса электронной почты 381 000 пользователей.

CMS взламываются очень часто. Особенно это касается многих популярных систем управления сайтом. Хакеры очень заинтересованы в таком взломе, так как за одно взломанное приложение можно "получить" множество других, в том числе новых сайтов на различных уголках планеты.

Один из самых ярких примеров CMS, содержащей уязвимости, является WordPress. Согласно отчетам компании Sucuri, специализирующейся на безопасности веб-серверов и сайтов, в третьем квартале 2016 года взламываемыми CMS были следующие: WordPress (74%), Joomla (17%) и Magento (6%).

Из-за своей уязвимости CMS очень уязвимы для атак и других вредоносных действий. С помощью созданных уязвимостей хакеры могут внедрить на сайт зловредный код, который на свою очередь будет заражать компьютеры посетителей вирусами, публиковать контент сомнительного качества или перенаправлять пользователя на другие сайты. Очевидно, что от этого страдает репутация сайта, упадок посещаемости и популярности. Именно поэтому необходимо постоянно следить за безопасностью CMS, принимать все необходимые меры и устанавливать обновления безопасности вовремя.

Переформулируем заголовок: Как хакеры могут взломать сайт, используя модули и компоненты вне CMS

Признаем, что каждая из CMS прекрасно защищена от взлома, если установлена и настроена корректно. Однако, когда дело касается компонентов, плагинов и модулей от сторонних разработчиков, возникает новая угроза. Например, при установке расширения для комментариев, содержащего уязвимость, хакер может получить возможность вывести на сайте злонамеренный скрипт вместо комментария, что даст ему возможность осуществить взлом.

Недостаточная проверка и обработка передаваемых пользователем данных порождают SQL-инъекцию. Эта уязвимость дает возможность хакерам произвести и модифицировать переданные кодом программы запросы и даже выполнять не предусмотренные запросы к базе данных, внедряя вредоносный код. Результатом такой атаки является получение доступа к данным, к которым в обычных условиях доступ запрещен.

Использование SQL-инъекции позволяет хакерам совершать кражу, подмену, уничтожение данных и провоцировать отказ в обслуживании. Согласно отчету компании Akamai Technologies, Inc., инциденты, связанные с SQL-инъекциями, возросли на 87% в первом квартале 2016 года по сравнению с предыдущим периодом. 60% этих атак приходятся на сайты с медиа и развлекательным контентом, 30% — на сайты онлайн-услуг и 10% — на правительственные сайты.

Существует несколько способов защиты от уязвимостей, включая защиту от конкретных видов атак. Некоторые из них включают использование лицензионного программного обеспечения, регулярное обновление систем управления содержанием (CMS), отказ от простых паролей и небезопасных браузеров, а также установка межсетевого экрана. Один из наиболее надежных методов защиты — это использование протокола https. Он будет рассмотрен ниже в деталях.

Как обеспечить защиту веб-сайта: преимущества протокола HTTPS

В современном мире, где технологии развиваются со столь быстротой, вопросы безопасности в сети становятся все более острой проблемой для владельцев сайтов. Часто на передовых позициях в этой борьбе находится протокол HTTPS.

HTTPS является защитной оболочкой для обычного HTTP, предназначенной для надежного шифрования передаваемой от пользователя к серверу и обратно информации. Данное шифрование исключает возможность утечки данных, что значительно повышает уровень безопасности сайта.

Важно отметить, что протокол HTTPS защищает не только данные пользователей, но и данные самого сайта, что делает его надежной защитой от взлома. Хотя такой протокол и требует некоторого усилия от владельца сайта и привязки к SSL-сертификату, эти затраты оправдывают себя защищенностью сайта и доверием пользующихся им пользователей.

В целом, использование протокола HTTPS может значительно повысить защиту сайта и сделать его более устойчивым к взлому.

Переход на протокол HTTPS не обязателен для всех сайтов. Однако, если на сайте обрабатывается платежная информация или другие персональные данные, переход на HTTPS является обязательным требованием. В остальных случаях владелец сайта сам решает, нужно ли перейти на HTTPS или нет. Однако, взлом сайта может привести к серьезным последствиям, таким как рассылка спам-сообщений, автоматический переход на сайты с неизвестным содержанием и даже полное уничтожение сайта.

Использование HTTPS дает сайту серьезный плюс с точки зрения клиентов и пользователей. Это увеличивает уровень доверия к компании, так как соединение с сайтом надежно защищено. Кроме того, сайты с HTTPS-соединением имеют высокий рейтинг в поисковых системах.

Фото: freepik.com