Insecure Transport: Insufficient HSTS Expiration Time

アプリケーションは、有効期間が十分でない HTTP Strict Transport Security (HSTS) ヘッダーを設定します。これにより攻撃者は、HTTPS 接続を単純な HTTP 接続に置換し、HTTPS ストリッピング攻撃を実行して機密情報を盗めるようになります。

HTTPS ストリッピング攻撃は中間者攻撃の一種であり、攻撃者はすべての HTTP トラフィックを監視し、HTTPS を参照する位置ヘッダーおよびリンクを見つけて HTTP バージョンに置換します。攻撃者は HTTPS リクエストをサーバーに戻せるように、すべての HTTP 代用の一覧を作成します。見つけ出された HTTP 接続はすべて HTTPS 経由でサーバーにプロキシされます。攻撃対象者と攻撃者の間のトラフィックはすべて HTTP で送信され、ユーザー名、パスワード、その他の個人情報が開示されますが、サーバーは要求通り HTTPS トラフィックを攻撃者から受け取るため、何も問題ないように見えます。

HTTP Strict Transport Security (HSTS) は、ヘッダー内に指定されている期間中は SSL/TLS で HSTS ヘッダーを返すサイトへ常に接続するようブラウザーに指示するセキュリティ ヘッダーです。ユーザーがブラウザーの URL バーに「http://」と入力しても、HTTP によるサーバーへの接続は自動的に HTTPS 接続に置換されます。

例: 次のコードでは、Spring Security で保護されるアプリケーションで使用するための有効期間が十分ではありません。

    @Override 
    protected void configure(HttpSecurity http) throws Exception {
        http.httpStrictTransportSecurity().maxAgeInSeconds(300);
    }