前端基础知识之HTTP与安全性（二）

xxx17
558 阅读21分钟

往期回顾：前端基础知识之HTTP协议（一）

前言

从上一篇文章中，我们已经对HTTP有了初步的认识，它作为一个基础的通信协议，负责在客户端和服务器之间传输数据。在当今的网络世界中，HTTP协议已是我们日常生活中不可或缺的一部分。然而，随着网络攻击日益增多和恶化，保护HTTP通信的安全性变得尤为重要。
作为一个前端开发者，了解和实施HTTP安全性措施都是至关重要的。接下来让我们一起探索HTTP安全性的世界，为我们的网络通信提供更高的保障。

HTTP为何不安全？

http协议属于明文传输协议，通信双方没有进行认证，存在的问题：

  1. 通信数据不加密：HTTP协议在传输数据时不对数据进行加密，导致数据在传输过程中容易被窃听和篡改。这意味着攻击者可以截取传输的数据包，并获取敏感信息，如登录凭证、个人信息等。

  2. 缺乏身份验证：HTTP协议没有提供对服务器身份的验证机制，因此无法确保用户连接的是真实的服务器。这使得攻击者可以通过伪造服务器的方式，进行钓鱼攻击或中间人攻击，从而获取用户的敏感信息。

  3. 容易受到中间人攻击：由于HTTP协议的通信不加密，攻击者可以在用户与服务器之间插入自己的设备或劫持通信流量，从而拦截、修改或篡改数据。这种中间人攻击可能导致用户数据泄露或被篡改。

  4. 安全性问题：HTTP协议没有对数据完整性进行验证，无法确保数据在传输过程中没有被篡改或损坏。此外，HTTP协议也没有提供防护机制来抵御常见的网络攻击，如跨站脚本攻击（XSS）、跨站请求伪造（CSRF）等。

什么样的通信过程才是安全的呢？

一个安全的通信过程应该具备以下几个特点：

  1. 机密性（Confidentiality）：在通信过程中，数据应该加密，以防止未经授权的人员窃取或访问敏感信息。这可以通过使用加密算法，如SSL/TLS，来实现。
  2. 完整性（Integrity）：数据在传输过程中不应被篡改或修改。使用数据完整性校验，如消息认证码（MAC）或数字签名，可以确保数据的完整性。
  3. 身份认证（Authentication）：确保通信双方的身份是可信的，以防止冒充或伪装攻击。这可以通过使用证书、token或其他身份验证机制来实现。
  4. 不可否认性（Non-repudiation）：确保通信双方不能否认已进行的通信行为。这可以通过使用数字签名等手段来实现。
  5. 授权（Authorization）：确保只有经过授权的用户或实体可以访问特定资源或执行特定操作。这可以通过访问控制机制和权限管理来实现。

综上所述，一个安全的通信过程应该同时满足机密性、完整性、身份认证、不可否认性和授权等要求，以确保数据的安全性和可信度。

HTTPS协议

概念：HTTPS是超文本传输安全协议（Hypertext Transfer Protocol Secure）的缩写。HTTPS是基于HTTP协议的，通过使用SSL（Secure Sockets Layer）或TLS（Transport Layer Security）协议来加密通信内容，确保传输过程中的数据安全性和完整性。而且HTTPS通过使用SSL/TLS证书，可以验证服务器的身份，并与服务器进行加密通信。与HTTP相比，HTTPS使用了加密技术来保护数据在传输过程中不被窃听、篡改或伪造。

加密方式

（一）对称加密

在对称加密中，加密、解密时使用的是同一个密钥。发送方和接收方需要共享同一个密钥，发送方使用该密钥将消息加密，接收方使用同样的密钥将消息解密；对称加密算法的加密速度较快，适用于大量数据的加密和解密操作。常见的对称加密算法包括DES、3DES、AES等。

未命名文件 (1).png

然而，对称加密密钥如何配送仍然会存在问题，除非私下共享，只要经过网络明文传输，都存在被拦截窃取的可能。

（二）非对称加密

非对称加密，也称为公钥加密，是一种使用公钥和私钥配对的加密方式。在非对称加密中，发送方使用接收方的公钥来加密消息，而接收方使用自己的私钥来解密消息。 与对称加密不同，非对称加密中的公钥是公开的，而私钥是保密的。发送方可以使用接收方的公钥来加密消息，但只有接收方自己持有与公钥配对的私钥才能解密消息。

未命名文件 (2).png

非对称加密具有较高的安全性，因为私钥不会被传输或泄露，只有私钥的持有者才能解密消息。非对称加密常用于密钥交换、数字签名和身份验证等场景。

常见的非对称加密算法包括RSA、Diffie-Hellman、ECC等。这些算法基于数学问题的难解性来保证加密的安全性

（三）混合加密(HTTPS采取的加密方式)

从上面的描述可以看出，由于非对称加密的处理比起对称加密来说较为复杂，所以如果在通信时一直使用非对称加密，就会导致通信的效率大大的降低，所以HTTPS采用了对称加密和非对称加密并用的混合加密机制。

使用对称加密将消息加密，再通过非对称加密算法加密对称加密的密钥，这样就能保证复杂的内容使用加密较快的对称加密，而重要的信息通过非对称加密。

数据签名

概念：数据签名是一种使用私钥对数据进行加密的技术，用于验证数据的完整性、真实性和身份。 数据签名可以使用各种加密算法和技术来实现，包括对称加密算法、非对称加密算法、Hash函数等。而使用非对称加密算法来实现数据的签名和验证的方式称为数字签名。通过数据签名，可以防止中间人攻击、数据篡改和冒充身份等安全问题。

数据摘要概念：数字摘要就是采用单向Hash函数（不可逆加密）将需要加密的明文“摘要”成一串固定长度（128位）的字符串。这一串字符串又称为数字指纹，它有固定的长度，而且不同的明文摘要成字符串，其结果总是不同的，而同样的明文其摘要必定一致。

未命名文件 (4).png

HTTP不能验证报文的完整性和判断报文是否被修改，而HTTPS使用数据签名，客户端将要发送的明文通过Hash散列和加密算法生成对应的数据签名，将要发送的明文加密后和数据签名一起发送，服务端通过解密算法拿到明文以及数据摘要（数据签名解密以后就是数据摘要），服务端通过同样的Hash散列算法对明文求其数据摘要。如果两个摘要相等，说明报文完整，未被篡改过，反之，说明数据不完整或者被篡改了。

数字证书

概念：数字证书是用于进行身份验证和加密通信的一种电子证书。它是由一个受信任的第三方机构（称为证书颁发机构或CA）颁发的，用于证明一个实体（如网站、服务器、个人等）的身份。

数字证书包含了以下重要的信息：

  1. 证书持有者的基本信息：网站的域名、服务器的主机名等。
  2. 证书的公钥：证书中包含了证书持有者的公钥，用于进行加密通信。公钥是非对称加密中的一部分，用于加密数据和进行身份验证。
  3. 证书颁发机构的签名：证书颁发机构会使用自己的私钥对证书的内容进行签名，以确保证书的真实性和完整性。客户端可以使用颁发机构的公钥来验证签名的有效性。
  4. 证书的有效期：证书中会包含证书的有效期限，即证书的生效日期和过期日期。在有效期内，证书可以被信任；过期后，需要重新颁发或更新证书。
  5. 证书颁发机构的信息：证书中还会包含颁发机构的信息，如颁发机构的名称、公钥和证书序列号等。
  6. 其他扩展信息：证书中还可以包含一些扩展的信息，如证书用途、密钥用法、证书持有者的额外信息等。

数字证书申请流程：

  1. 服务器将自己的公钥和域名等一系列信息发送给权威机构申请一个CA证书；
  2. 权威机构会将服务端的公钥、颁发者、有效期等信息也就是证书内容打包并进行哈希运算，计算出一个哈希值；
  3. 权威机构用自己的私钥对这个哈希值进行加密，得到证书签名；
  4. 最后将证书签名添加到证书中，形成完整的CA证书并返回给服务器；

在HTTPS通信中，客户端验证服务端身份的过程:

  1. 客户端向服务端请求CA证书；
  2. 服务端将CA证书发送给客户端；
  3. 客户端拿到CA证书后，查看权威机构是否是自己信任的权威机构，如果不是，可以自行选择是否添加信任；通常浏览器和操作系统都集成了权威机构的公钥，因此可以使用权威机构公钥对CA证书中的证书签名进行解密，得到哈希值H1；
  4. 客户端使用CA证书中的签名哈希算法计算得到一个哈希值H2；
  5. 比较H1和H2是否相等，如果相等则说明证书是可信的，否则证书不可信，可以自行选择是否添加信任。

通过数字证书，HTTPS可以提供身份验证和加密通信的安全性。它可以防止中间人攻击和数据篡改，并确保通信双方的身份是可信的。

SSL/TLS协议

概念：SSL（Secure Sockets Layer）和TLS（Transport Layer Security）是用于加密通信的安全协议。SSL是TLS的前身，TLS在SSL的基础上进行了改进和升级。SSL/TLS协议的主要功能是为通信提供加密和身份验证。它们通过使用公钥加密和数字证书来确保通信内容的机密性和完整性。

在SSL/TLS握手过程中，客户端和服务器之间进行协商，确定加密算法和密钥，以确保安全的通信。握手过程包括以下几个步骤：

  1. 客户端向服务器发送ClientHello消息，其中包含支持的SSL/TLS版本、加密算法、压缩算法等信息。
  2. 服务器收到ClientHello消息后，回复ServerHello消息，其中包含选择的SSL/TLS版本、加密算法、压缩算法等信息。
  3. 服务器发送服务器证书消息，其中包含服务器的数字证书。客户端会验证证书的合法性，包括检查证书颁发机构的信任链和验证证书的有效性。
  4. 客户端生成一个随机数，称为Pre-Master Secret，使用服务器的公钥加密后发送给服务器。
  5. 服务器使用自己的私钥解密Pre-Master Secret，得到一个Master Secret。
  6. 客户端和服务器都使用Master Secret生成对话密钥，用于加密和解密通信内容。
  7. 客户端发送Finished消息，其中包含握手过程中的所有消息的哈希值，用于验证握手过程的完整性。
  8. 服务器也发送Finished消息，用于验证握手过程的完整性。

一旦握手完成，客户端和服务器之间的通信将使用会话密钥进行加密和解密，确保通信内容的安全性和完整性。 3.png

SSL/TLS协议广泛应用于Web浏览器和服务器之间的HTTPS通信，以及其他需要保护通信内容的网络应用。通过使用SSL/TLS，可以提供安全的网络通信环境，防止数据被窃听和篡改。

总结：HTTPS协议=HTTP协议+加密+证书+完整性保护

HTTP安全头部

概念：HTTP安全头部（HTTP security headers）是一种通过HTTP响应头部或HTTP请求头部来提供额外安全保护的机制。这些头部指令可以告诉浏览器和其他客户端如何处理和保护网站的内容。

以下是一些常见的HTTP安全头：

  1. Strict-Transport-Security (HSTS)：通过设置Strict-Transport-Security头部，网站可以要求浏览器只使用HTTPS与其进行通信，从而防止恶意攻击者进行SSL剥离攻击。该头部包含一个max-age指令，指定浏览器在指定时间内只使用HTTPS。

  2. X-Content-Type-Options：通过设置X-Content-Type-Options头部为"nosniff"，可以防止浏览器对响应的内容类型进行猜测。这可以防止一些类型的跨站脚本攻击（XSS攻击）。

  3. X-XSS-Protection：通过设置X-XSS-Protection头部，可以启用浏览器的内置跨站脚本攻击防护机制。该头部可以指定是否启用该机制，以及在检测到攻击时的处理方式。

  4. Content-Security-Policy (CSP)：通过设置Content-Security-Policy头部，可以定义一组策略来限制网页中可加载的资源和执行的操作。这可以帮助防止跨站脚本攻击（XSS攻击）和其他类型的攻击。

  5. X-Frame-Options：通过设置X-Frame-Options头部，可以防止网站被嵌入到其他网站的框架中，从而防止点击劫持攻击。

  6. Referrer-Policy：通过设置Referrer-Policy头部，可以控制浏览器在请求中发送的Referrer字段的内容。这可以帮助保护用户的隐私。

以上是一些常见的HTTP安全头，可以根据具体的需求和场景选择适合的安全头部来保护网站。使用HTTP安全头可以提高网站的安全性，并减少一些常见的安全漏洞和攻击的风险。

常见的攻击手段

XSS 攻击

概念：跨站脚本攻击（Cross-Site Scripting，简称XSS）是一种常见的网络安全漏洞，攻击者通过注入恶意脚本代码到网页中，使得用户在浏览网页时执行这些恶意代码，从而获取用户的敏感信息或者对用户进行其他恶意操作。

攻击类型：

  1. 反射型XSS：攻击者将恶意脚本注入到URL参数中，当用户点击包含恶意代码的URL时，网站会将恶意代码反射回用户的浏览器并执行。
  2. 存储型XSS：攻击者将恶意脚本注入到网站的数据库中，当其他用户访问包含恶意代码的页面时，网站会从数据库中读取并返回恶意代码给用户的浏览器执行。
  3. DOM-based XSS：攻击者通过修改页面的DOM结构来执行恶意脚本，而不是通过服务器返回的内容。

防御措施：

  1. 输入过滤和验证：对用户输入的数据进行过滤和验证，确保只接受合法的数据。
  2. 输出编码：将用户输入的内容进行HTML编码，使得浏览器无法解析恶意代码。
  3. 使用内容安全策略（Content Security Policy，CSP）：通过设置HTTP头部的CSP策略，限制网页中可以执行的脚本来源，从而减少XSS攻击的风险。
  4. 使用X-XSS-Protection头部：设置HTTP响应头部的X-XSS-Protection字段，启用浏览器内置的XSS防护机制。

总之，防止XSS攻击需要在开发过程中注重输入验证和输出编码，并且采取额外的安全措施来保护用户的浏览器免受恶意脚本的攻击。

CSRF攻击

概念：跨站请求伪造（Cross-Site Request Forgery，简称CSRF）是一种常见的网络安全漏洞，攻击者利用用户已经通过身份验证的状态下的会话来执行未经用户授权的操作。CSRF攻击通常发生在用户登录了一个网站后，攻击者通过其他网站或恶意邮件等方式诱导用户访问恶意网站或点击恶意链接，从而触发用户在目标网站上的操作。

攻击步骤：

  1. 用户登录目标网站并获得了一个会话凭证（如Cookie）。
  2. 用户在未登出目标网站的情况下，访问了攻击者构造的恶意网站或点击了恶意链接。
  3. 恶意网站或链接中的代码会自动发起一个请求，该请求会携带用户在目标网站上的会话凭证。
  4. 目标网站接收到请求后，认为是用户的合法请求，执行相应的操作。

防御措施：

  1. 验证请求来源：在服务器端验证请求的来源是否合法，可以通过检查请求头部中的Referer字段来进行验证。
  2. 使用CSRF令牌：为每个用户生成一个唯一的CSRF令牌（token），并在表单或请求参数中携带该token。服务器端在接收到请求时验证token的合法性。
  3. 阻止第三方网站的访问：通过设置HTTP响应头部的SameSite属性为Strict或Lax，可以限制Cookie的跨域访问，从而减少CSRF攻击的风险。
  4. 严格设置Cookie的安全属性：通过设置Cookie的Secure属性为true，限制只有通过HTTPS协议才能发送该Cookie，增加了攻击者获取Cookie的难度。

总之，为了防止CSRF攻击，需要在服务器端进行验证和控制，以确保请求的合法性，并采取额外的安全措施来限制Cookie的跨域访问。此外，用户在浏览器中也应保持良好的安全习惯，不点击不信任的链接或访问不明来源的网站。

点击劫持

概念：点击劫持（Clickjacking）是一种网络攻击技术，攻击者通过将一个透明的、恶意的网页层覆盖在一个合法的网页之上，诱使用户在不知情的情况下点击了恶意网页上的某个链接或按钮。这样，攻击者就可以以用户的身份执行某些恶意操作，如转账、更改密码等。

攻击步骤：

  1. 攻击者构造一个诱导用户点击的内容，比如页面小游戏。
  2. 将我们的页面放入到 iframe 当中。
  3. 利用 z-index 等 CSS 样式将这个 iframe 叠加到小游戏的垂直方向的正上方。
  4. 把 iframe 设置为100%透明度。
  5. 受害者访问到这个页面后，肉眼看到的是一个小游戏，如果受到诱导进行了点击的话，实际上点击到的却是 iframe中的我们自己的页面。

防御措施：

  1. 使用X-Frame-Options响应头：通过设置X-Frame-Options响应头为DENY或SAMEORIGIN，可以禁止网页被嵌套在iframe中，从而防止点击劫持攻击。
  2. 使用Content Security Policy（CSP）：通过设置Content Security Policy响应头，可以限制网页中的资源加载，防止恶意网页的加载和执行。
  3. 使用Frame Buster脚本：在网页中嵌入一段JavaScript代码，检测当前页面是否被嵌套在iframe中，如果是，则跳转到一个安全页面。
if(top.location != self.location){
  // 强制跳转到一个安全页面
  top.location.href = 'http://www.baidu.com'
}

点击劫持是一种常见的网络攻击手段，前端开发者在设计和开发网页时应该意识到这个问题，并采取相应的防护措施来保护用户的安全。

SSL Stripping（SSL剥离）

概念：SSL Stripping（SSL剥离）是一种攻击技术，旨在绕过安全套接层（SSL）加密，使得通信流量可以被攻击者窃听和篡改。它利用了许多用户在访问网站时通常使用的HTTP协议，而不是HTTPS协议。

攻击步骤：

  1. 攻击者拦截用户的HTTPS请求，并将其转发到目标网站。
  2. 攻击者与目标网站建立一个HTTPS连接，并获取目标网站的SSL证书。
  3. 攻击者将目标网站的SSL证书替换为自己生成的伪造证书，并将其发送给用户。
  4. 用户的浏览器接受到伪造的证书，因为攻击者伪造的证书在技术上是有效的。
  5. 用户的浏览器与攻击者建立一个非加密的HTTP连接，并且所有的通信流量都是明文的，可以被攻击者窃取和篡改。

防御措施：

  1. 使用HTTP Strict Transport Security（HSTS）：HSTS是一种安全机制，强制浏览器只与网站建立安全的HTTPS连接，从而防止降级为HTTP连接。
  2. 实施HTTPS Everywhere：在网站上启用HTTPS，并确保所有的网页和资源都通过HTTPS进行传输。
  3. 使用强密码和安全证书：使用强密码来保护证书的私钥，确保证书的完整性和安全性。
  4. 用户教育和意识提高：教育用户如何识别和避免受到SSL Stripping攻击，以及如何验证网站的SSL证书的合法性。

总之，SSL Stripping是一种危险的攻击技术，可以绕过SSL加密，并窃取和篡改用户的通信流量。通过采取上述防范措施，可以最大限度地减少SSL Stripping攻击的风险。

MIME类型混淆攻击

概念：MIME类型混淆攻击是一种利用浏览器的MIME类型处理机制的安全漏洞。MIME类型是指在HTTP响应中的Content-Type头部字段，用于指示所传输的数据的类型。浏览器根据MIME类型来决定如何处理接收到的数据。然而，恶意攻击者可以通过伪造或欺骗的方式来混淆浏览器的MIME类型处理，从而实施攻击。

攻击步骤：

  1. 攻击者上传或构造一个恶意文件，通常是一个HTML或JavaScript文件。
  2. 攻击者修改或伪造文件的MIME类型，使其看起来是一个安全的文件类型，如image/jpeg或application/pdf。
  3. 攻击者将恶意文件通过一个合法的URL或链接引入到目标网页中。
  4. 用户访问目标网页时，浏览器会根据文件的MIME类型进行解析和处理。
  5. 浏览器根据伪造的MIME类型来判断文件的类型，如果是一个安全的类型，浏览器将按照对应的解析方式进行处理。
  6. 攻击者的恶意代码被误以为是安全的文件类型，浏览器可能会执行该代码或按照该代码的指示进行其他操作。

这种攻击可以导致多种安全问题，如跨站脚本攻击（XSS），远程代码执行等。

防御措施：

  1. 使用X-Content-Type-Options头部：设置X-Content-Type-Options头部的值为nosniff，告诉浏览器不要尝试猜测响应内容的MIME类型。
  2. 严格验证输入数据：在接收到上传的文件时，进行严格的验证和过滤，确保文件类型与预期相匹配。可以使用文件类型检查工具或库，例如mime-types库来验证文件的真实类型。
  3. 使用内容安全策略（Content Security Policy）：CSP可以限制网页中可以加载的资源，包括脚本、样式表、图像等。通过在HTTP响应头中设置Content-Security-Policy或Content-Security-Policy-Report-Only头部，可以指定允许加载的资源来源，从而防止恶意注入脚本或其他资源。

通过采取这些措施，可以增加应用程序的安全性，防止MIME类型混淆攻击的发生。

小结

以上是我整理的一些前端HTTP相关的安全性知识，如果对你有帮助的话不要忘记点赞收藏哦！

dz3.webp

avatar
文章
阅读
粉丝