HSTS حمى العودة وChromium قرر مسار الزيارة الأولى

الخلاصة

يرسل الموقع Strict-Transport-Security عبر اتصال HTTPS خالٍ من أخطاء النقل، فيحفظ المتصفح القاعدة للزيارات اللاحقة. سمّت RFC 6797 أول طلب HTTP إلى موقع غير معروف للمتصفح نافذةً لهجوم الوسيط.
أعلن فريق Chromium عام 2011 أن الانتقال الأول إلى Gmail سيستخدم HTTPS أيضاً. ووصفت RFC الصادرة عام 2012 قائمة HSTS المثبتة من مُنتج المتصفح وسيلة لحماية الاتصال الأول بالمواقع المختارة.

وصلت التعليمات بعد انطلاق الطلب

اقترح Collin Jackson وAdam Barth في بحث ForceHTTPS لعام 2008 أن يطلب الموقع أو المستخدم من المتصفح التعامل بحزم مع أخطاء HTTPS. كان نموذج الإضافة التجريبي لمتصفح Firefox يحول الاتصالات غير الآمنة، ويوقف الاتصال عند أخطاء الشهادة، ويمنع المحتوى المدمج عبر HTTP. واجه البحث عادةً لدى المتصفحات: التساهل مع إعدادات المواقع المكسورة حفاظاً على التوافق. أراد الباحثان وسيلة يعلن بها الموقع أنه يرفض هذا التساهل.

حوّلت RFC 6797 التعليمات إلى ترويس استجابة اسمه Strict-Transport-Security. إذا وصله المتصفح عبر HTTPS بلا أخطاء، حفظ سياسة الموقع طوال مدة max-age وحوّل الطلبات المقبلة إلى الاتصال الآمن. أما الترويس القادم عبر HTTP غير المشفر فعليه تجاهله. لا يصح أن يملي من يسيطر على الوصلة المفتوحة قاعدة الحماية منه.

تبقى لحظة لا تصل إليها الاستجابة في وقتها. قد يكتب المستخدم اسم نطاق جديد أو يتبع رابطاً يبدأ بـhttp، فيخرج الطلب قبل أن يعرف المتصفح سياسة الموقع. سمّت RFC ذلك ثغرة الوسيط في بدء الاتصال. يملك الخادم التعليمات، لكنه لا يرسلها إلا بعد الرحلة التي كان يفترض حمايتها. التحويل اللاحق لا يعيد الطلب الأول إلى نقطة البداية.

حمل المتصفح القائمة قبل السفر

ذكر إعلان فريق أمن Chromium في يونيو 2011 مسارين مختلفين. أتاح Chromium 12 للمستخدمين المتقدمين فرض HTTPS لنطاقات يختارونها. وقال الفريق إن Chromium 13 سيصل إلى Gmail دائماً عبر HTTPS، بما في ذلك الزيارة الأولى عندما يكتب الشخص gmail.com أو mail.google.com بلا بادئة. كما وصف أخطاء شهادة لا يمكن تجاوزها بالنقر. قرار المتصفح سبق رد الموقع.

شرحت المادة 12.3 من RFC 6797 القائمة المسبقة: يستطيع مسؤول الموقع طلب إدراج سياسة HSTS لدى صانع المتصفح ضمن البرنامج الموزع. وتوضح وثائق Chromium الفجوة القائمة عند تثبيت متصفح جديد أو محو حالته المحلية، ثم دور القائمة في حماية الأسماء المدرجة منذ البداية. يشغّل الموقع HTTPS ويطلب الحماية. يختار صانع المتصفح أسماء المواقع التي تصل قاعدتها إلى الجهاز قبل أي زيارة.

بهذا صار أمن الطلب الأول قراراً في توزيع البرنامج. يحكم ترويس الخادم الزيارات بعد وصول آمن؛ وتحكم القائمة ما يحدث قبل ذلك. نسخة مؤرشفة من قائمة Chromium 13 وقياسات للطلبات الأولى تحددان مدى الحماية الفعلي. أما السجلات الأصلية فتظهر لحظة انتقال سلطة القرار.