V9.1.1 Client Communication Security

Requirement:

Verify that TLS is used for all client connectivity, and does not fall back to insecure or unencrypted communications. (C8)

Explanation:

Требование направлено на обеспечение безопасного взаимодействия с клиентами и предполагает использование протокола Transport Layer Security (TLS) для всех подключений клиентов к приложению.

TLS - это криптографический протокол, обеспечивающий безопасное взаимодействие по компьютерной сети, предотвращающий подслушивание, подмену и перехват данных. Это требование направлено на защиту конфиденциальной информации и предотвращение возврата приложения к небезопасным или незашифрованным методам связи.

Remediation:

Чтобы выполнить требование и обеспечить использование TLS для всех клиентских подключений без возврата к небезопасным или незашифрованным соединениям, можно выполнить следующие действия:

1. Check Current Implementation:

• Определите, как ваше приложение в настоящее время обрабатывает клиентские соединения.
• Определите, используется ли TLS и есть ли какие-либо потенциальные сценарии отката к небезопасным или незашифрованным соединениям.

2. Review Application Architecture:

• Определите все точки взаимодействия между клиентом и сервером, включая веб-страницы, API и другие виды взаимодействия с клиентом.

3. Update Server Configuration:

• Настройте сервер приложения на поддержку TLS и последних версий безопасного протокола TLS (например, TLS 1.2 или 1.3).
• Убедитесь, что устаревшие и небезопасные протоколы (например, SSLv3) отключены.
• Используйте надежные наборы шифров, обеспечивающие надежное шифрование и аутентификацию.

4. Implement HTTPS:

• Если ваше приложение является веб-приложением, обеспечьте использование HTTPS (HTTP over TLS) для всех веб-страниц.
• Обновите URL-адреса в приложении, чтобы использовать "https://" вместо "http://".

5. Check for Insecure Fallback:

• Проверьте код приложения на наличие случаев использования небезопасного или незашифрованного обмена данными, особенно в случае обработки ошибок.

6. Implement Strict Transport Security (HSTS):

• Внедрите заголовки HTTP Strict Transport Security (HSTS) в ответы вашего приложения.
• HSTS предписывает браузеру клиента использовать только HTTPS для связи с вашим приложением, даже если пользователь вводит в адресной строке "http://".

7. Test and Validate:

• Проведите тестирование приложения, чтобы убедиться, что все взаимодействия между клиентом и сервером осуществляются по протоколу TLS.
• Убедитесь, что попытки инициировать незащищенное или незашифрованное взаимодействие приводят к ошибкам или сбоям.

8. Verify Certificate Validity:

• Убедитесь, что TLS-сертификат вашего сервера действителен, правильно настроен и не просрочен.
• Регулярно обновляйте сертификаты и поддерживайте их в актуальном состоянии.

9. Penetration Testing:

•  Проведите тестирование на проникновение для выявления уязвимостей, связанных с конфигурацией и взаимодействием по протоколу TLS.

10. Documentation and Training:

• Документируйте изменения, внесенные для обеспечения использования TLS и HTTPS.

11. Regular Review and Updates:

• Периодически просматривайте и обновляйте конфигурации, сертификаты и протоколы TLS по мере необходимости.

12. Monitor and Respond:

• Осуществляйте мониторинг для выявления возможных инцидентов безопасности, связанных с TLS.
• Разработайте планы реагирования на инциденты для устранения любых нарушений безопасности, связанных с коммуникациями.

Рекомендуется использовать генератор https://ssl-config.mozilla.org/:

# intermediate configuration

ssl_protocols TLSv1.2 TLSv1.3;

How to check: https://www.ssllabs.com/ssltest/analyze.html?d=example.com

Пример демонстрирующий, как можно использовать библиотеку requests, чтобы обеспечить использование TLS при взаимодействии с клиентами и не возвращаться к небезопасным или незашифрованным протоколам, в соответствии с требованием V9.1.1:

Пример обеспечения защищенного соединения

import requests

def send_secure_request(url):

try:

# Send a secure request to the URL

response = requests.get(url, verify=True)

# Check if the response is successful

if response.status_code == 200:

print("Response received:", response.text)

else:

print("Request failed with status code:", response.status_code)

except requests.exceptions.RequestException as e:

print("Request error:", e)

if __name__ == "__main__":

target_url = "https://example.com"

send_secure_request(target_url)

В данном примере:

•  Используется библиотека requests для отправки GET-запроса на целевой URL.
•  Аргумент verify=True обеспечивает включение проверки сертификатов SSL/TLS и шифрование соединения по протоколу HTTPS.

Additional:

https://cwe.mitre.org/data/definitions/319.html

https://cheatsheetseries.owasp.org/cheatsheets/Transport_Layer_Protection_Cheat_Sheet.html