Как обезопасить apache от атаки KRACK (или аналогичной MITM)?

В видео, размещенном на его веб-сайте www.krackattacks.com, исследователь безопасности Мэти Ванхойф продемонстрировала, что существует возможность понизить соединение HTTPS до HTTP, а затем перехватить учетные данные для входа.

Я использую небольшой https-сервер (Apache, Ubuntu 16.04) и хотел бы настроить его так, чтобы он отклонял любые попытки понизить требования HTTPS.

  1. Как я могу проверить, будет ли мой экземпляр Apache принимать и обрабатывать запрос браузера, чтобы понизить HTTPS до HTTP?

  2. Как я могу перенастроить Apache, чтобы отклонять такие запросы от браузеров?

  3. Есть ли причина не делать (2) выше? Я могу подумать о поддержке пользователей со старыми браузерами, что-то еще мне не хватает?

Источник

1 ответ

Решение

Один из вариантов просто не разрешать http только https.

Другой вариант - использовать HTTP Strict Transport Security.

Вы можете сделать это в Apache, добавив

Заголовок всегда устанавливает Strict-Transport-Security "max-age=31536000; includeSubDomains"

К вашему TLS включен vhost. Вы также должны перенаправлять любые запросы, сделанные на http, на https, чтобы гарантировать это.

Источник
Другие вопросы по тегам