Ein harden() für jede Antwort

Du kannst jetzt eine Browser-Anweisung lesen, und dein Dienst sendet keine. Diese Lektion fügt vier hinzu, über eine Funktion, zu jeder Antwort, die dein Code erzeugt. Wie in jedem Kapitel kommt der Angriff zuerst, als Test.

Füg diesen Test in tests/test_attacks.py ein, unter dem Kommentar zu Kapitel 10 am Ende der Datei:

def test_attack_every_response_says_nosniff():
    """Every response, an error included, must tell a browser to believe Content-Type."""
    state = reading_server.sample_state()
    about = reading_server.handle(helpers.make_request("GET", "/about"), state)
    assert about["status"] == 200
    assert about["headers"].get("x-content-type-options") == "nosniff"
    missing = reading_server.handle(helpers.make_request("GET", "/nowhere"), state)
    assert missing["status"] == 404
    assert missing["headers"].get("x-content-type-options") == "nosniff"
    headers = {"Authorization": helpers.basic("ana", "a wrong guess"), "Origin": steps.OWN}
    refused = reading_server.handle(helpers.make_request("POST", "/login", headers=headers), state)
    assert refused["status"] == 401
    assert refused["headers"].get("x-content-type-options") == "nosniff"

Er fragt eine öffentliche Route an, einen Pfad, der nicht existiert, und eine Anmeldung, die fehlschlägt. Die erste Zusicherung ist seine Vorbedingung: Die öffentliche Route antwortet mit 200. Führ python -m pytest -q aus und sieh zu, wie er bei der zweiten Zusicherung fehlschlägt. Der Rest dieser Lektion bringt ihn zum Bestehen.

Glaub dem Etikett

Ein Browser rät manchmal anhand der Bytes, was eine Antwort ist, egal was Content-Type sagt. Dieses Raten heißt Sniffing. Dein Dienst gibt ihm etwas zum Raten. Ein Cover wird als text/plain ausgeliefert, und sein Text stammt von dem, der das Cover geliefert hat. Angenommen, ein Cover enthält JavaScript-Text, und ein übersehenes Escapen lässt ein Script-Tag, das /covers/kindred.txt nennt, in deine Seite. Die Policy aus Lektion 4 erlaubt es, weil die Datei von der eigenen Origin der Seite kommt. Ohne nosniff führt ein Browser es womöglich aus.

X-Content-Type-Options: nosniff sagt dem Browser, dass er dem Etikett glauben soll. Damit weigert sich ein Browser, ein Skript auszuführen, dessen angegebener Typ kein Skripttyp ist. Der Header kostet nichts und passt zu jeder Antwort, also bekommt ihn jede Antwort.

Bleib bei HTTPS

Strict-Transport-Security, kurz HSTS, ist ein Versprechen über die Zukunft: Dieser Host spricht HTTPS, für mindestens max-age Sekunden. Ein Browser merkt sich das. Von da an macht er jeden http://-Link zu diesem Host zu https://, bevor er etwas sendet. Und wenn eine Zertifikatsprüfung für diesen Host fehlschlägt, soll der Browser keinen Weg anbieten, sich am Fehler vorbeizuklicken. Das macht die Ablehnungen, die du in Lektion 3 gesehen hast, endgültig.

Der Header wird nur über HTTPS gesendet. Über einfaches HTTP könnte ihn jeder auf dem Weg hinzufügen oder entfernen, also ignoriert ein Browser ihn dort, und der Standard (RFC 6797) sagt, dass man ihn dort nicht senden soll. Deshalb nimmt harden() einen Parameter https.

Zwei Grenzen. Der erste Besuch ist nicht geschützt, weil der Browser noch nichts zum Merken hat. Für diesen Fall bringen Browser Preload-Listen von Hosts mit, und das Wort preload in einem HSTS-Header gehört zu diesem Verfahren. Und der gelieferte Wert, HSTS = "max-age=31536000", ist ein Jahr ohne includeSubDomains. Dieses Wort würde jeden Host unter reading.example binden, und notes.reading.example wird von anderen Leuten betrieben.

Sag anderen Sites weniger

Wenn ein Leser einem Link weg von deiner Seite folgt, sagt der Browser der nächsten Site in einem Header Referer, woher der Leser kam. Dein Dienst protokolliert Pfade und nimmt einen Parameter next, also sagt er dem Browser, dass er seine URLs nicht weitergeben soll: Referrer-Policy: strict-origin-when-cross-origin. Eine andere Site erfährt dann die Origin und nie den Pfad. Aktuelle Browser verhalten sich standardmäßig so. Der Header legt das Verhalten für ältere Browser fest.

Warum nicht no-referrer, das noch weniger sagt? Weil dieser Wert auch den Header Origin ändert. Damit sendet ein Browser Origin: null mit jedem Formular, das deine eigenen Seiten absenden: dem Löschformular und den Formularen für Anmeldung, Abmeldung und Seitengröße. Die Prüfung, die du in Kapitel 8 geschrieben hast, lehnt null ab, und das soll sie auch. Der strengere Wert würde also deine eigenen Seiten aussperren.

Eine Funktion, entschieden anhand der Antwort

harden(response, *, https) bekommt eine Antwort und eine Tatsache über die Verbindung. Sie hat keine Anfrage und keinen State, also wird jede Regel anhand der Antwort selbst entschieden:

Der Medientyp ist der Teil von content-type vor einem eventuellen ;, gestrippt und in Kleinbuchstaben. Eine Antwort ohne content-type hat keinen.

Die Zeile no-store ist ein Sicherheitsnetz unter einer Regel, die du schon hast. Seit Kapitel 4 wird eine Antwort, die ein Cookie setzt, nie gespeichert, und die Seite zeigt die Bücher eines Lesers und sein Formular-Token. harden() lässt jedes andere cache-control und etag so, wie die Route sie erstellt hat: GET /about behält max-age=60, und ein Lesezugriff mit Token behält private, no-cache.

Deine Aufgabe

1. Schreib den Test oben und sieh zu, wie er fehlschlägt.

2. Schreib harden in reading_server.py. PAGE_CSP und HSTS werden oben in der Datei geliefert. Gib die Antwort zurück.

3. Ändere die letzte Zeile von handle() zu return harden(response, https=state["https"]). sample_state() hat jetzt einen Schlüssel "https", und er ist False: Dein Server spricht noch einfaches HTTP. Ein Dienst hinter einem vorgeschalteten Server, der TLS beendet, würde dasselbe Flag aus seiner Konfiguration setzen.

4. Ändere die letzte Zeile von closing_error() zu return harden(response, https=False). Diese Funktion beantwortet eine Anfrage, deren Body nicht gelesen werden kann, etwa ein POST ohne Content-Length. Ihre Antwort entsteht, bevor handle() läuft, also braucht sie einen eigenen Weg durch harden(). Sie hat keinen State, den sie fragen könnte, also übergibt sie False.

python -m pytest -q

Alle Tests bestehen, auch der neue. Dann drück Check my work. Jede Antwort, die dein Code erzeugt, trägt jetzt ihre Anweisungen, und eine davon, HSTS, wurde noch nie gesendet, weil der Server noch kein HTTPS spricht. Das Projekt ändert das.