HTTP - 安全性

HTTP 用于互联网通信，因此应用程序开发人员、信息提供者和用户应该了解 HTTP/1.1 中的安全限制。本文不会提供此处提及问题的最终解决方案，但会提出一些降低安全风险的建议。

个人信息泄露

HTTP 客户端通常会接触到大量个人信息，例如用户的姓名、位置、邮件地址、密码、加密密钥等。因此，您应该非常小心，防止通过 HTTP 协议意外泄露这些信息到其他来源。

• 所有机密信息都应以加密形式存储在服务器上。

• 泄露服务器的特定软件版本可能会使服务器机器更容易受到针对已知包含安全漏洞的软件的攻击。

• 充当网络防火墙门户的代理服务器应特别注意识别防火墙后面主机的头部信息的传输。

• 在“发件人”字段中发送的信息可能会与用户的隐私权益或其网站的安全策略冲突，因此，不应在用户能够禁用、启用和修改字段内容的情况下传输该信息。

• 如果引用页面是使用安全协议传输的，则客户端不应在（非安全）HTTP 请求中包含 Referer 首部字段。

• 使用 HTTP 协议的服务的作者不应将基于 GET 的表单用于提交敏感数据，因为这会导致数据在 Request-URI 中进行编码。

基于文件和路径名的攻击

文档应仅限于 HTTP 请求返回的文档，这些文档仅为服务器管理员所预期。

例如，UNIX、Microsoft Windows 和其他操作系统使用'..'作为路径组件来指示高于当前目录的目录级别。在这样的系统上，如果 HTTP 服务器允许访问 HTTP 服务器以外的资源，则 HTTP 服务器必须不允许 Request-URI 中存在任何此类结构。

DNS 欺骗

使用 HTTP 的客户端严重依赖域名服务，因此通常容易受到基于 IP 地址和 DNS 名称故意错误关联的安全攻击。因此，客户端需要谨慎假设 IP 号码/DNS 名称关联的持续有效性。

如果 HTTP 客户端缓存主机名查找的结果以提高性能，则它们必须遵守 DNS 报告的 TTL 信息。如果 HTTP 客户端不遵守此规则，则当先前访问的服务器的 IP 地址更改时，它们可能会被欺骗。

位置标头和欺骗

如果单个服务器支持多个互不信任的组织，则它必须检查在所述组织控制下生成的响应中的 Location 和 Content Location 标头的值，以确保它们不会尝试使它们无权访问的资源无效。

身份验证凭据

现有的 HTTP 客户端和用户代理通常会无限期地保留身份验证信息。HTTP/1.1 没有提供服务器指示客户端丢弃这些缓存的凭据的方法，这是一个很大的安全风险。

针对此问题的一部分，有一些变通方法，因此建议使用屏幕保护程序中的密码保护、空闲超时和其他缓解此问题固有安全问题的方法。

代理和缓存

HTTP 代理是中间人，代表中间人攻击的机会。代理可以访问与安全相关的信息、有关个体用户和组织的个人信息以及属于用户和内容提供商的专有信息。

代理运营商应像保护任何包含或传输敏感信息的系统一样保护运行代理的系统。

缓存代理提供额外的潜在漏洞，因为缓存的内容代表了恶意利用的有吸引力的目标。因此，应将缓存内容保护为敏感信息。