La página de inicio de nuestra aplicación web redirige de HTTP a HTTPS. Nuestro asesor de seguridad nos ha dicho que esto es una debilidad de seguridad importante, que la redirección podría interceptarse, por ejemplo. por SSLStrip. Y, por lo tanto, debemos eliminar la redirección y deshabilitar HTTP por completo, lo que requiere que el usuario escriba manualmente https: // ...
Después de haber estudiado el problema por mí mismo, me parece que la respuesta http inicial puede ser falsificada por MITM directamente por un atacante, sin necesidad de una redirección. Por lo tanto, eliminar el redireccionamiento no logra nada.
No estoy seguro, sin embargo, si SSLStrip sí puede hacerlo específicamente, tal vez deba ver primero la respuesta HTTP inicial.
Entiendo que HSTS evitaría este problema, SI el dispositivo / navegador en cuestión se haya comunicado con nuestra aplicación una vez antes. Pero para el contacto inicial, la solicitud HTTP puede ser secuestrada, independientemente de lo que haga la aplicación, no hay protección, a menos que nuestra aplicación web fuera lo suficientemente popular como para ser incluida en las listas HSTS del navegador.
¿Qué me perdí? ¿La redirección de HTTP a HTTPS es significativa?
Detesto su eliminación, ya que evitará que muchos usuarios típicos puedan conectarse a nuestro sitio, y no parece lograr nada.