HTTP Strict Transport Security

HTTP Strict Transport Security (HSTS)は、プロトコルダウングレード攻撃やクッキーハイジャックなどの中間者攻撃からWebサイトを保護するのに役立つポリシーメカニズムです。

SUSE Multi-Linux Managerでは、HSTSはデフォルトで有効になっています。 サーバで無効にする必要がある場合は、次の手順に従ってください:

プロシージャ:サーバでのHSTSの無効化

  1. サーバコンテナホストで、ルートとして、次のコマンドを実行して、設定`max-age=0`を含む新しい設定ファイルを作成します。

    mgrctl exec -- \
  echo 'Header always set Strict-Transport-Security "max-age=0; includeSubDomains"' \
  > /etc/apache2/conf.d/zz-spacewalk-www-hsts.conf

  2. 次のコマンドでApacheを再起動します。

    mgrctl exec -- systemctl restart apache2

ターゲットシステムの設定を再試行する必要がある場合、次の手順を実行します。

プロシージャ:プロキシでのHSTSの無効化

  1. サーバコンテナホストで、ルートとして、次のコマンドを実行して、設定`max-age=0`を含む新しい設定ファイルを作成します。

    echo 'Header always set Strict-Transport-Security "max-age=0; includeSubDomains' \
  > /etc/uyuni/custom-httpd.conf

  2. 次のコマンドを実行します。

    mgrpxy install podman --tuning-httpd /etc/uyuni/custom-httpd.conf config.tar.gz

新しい設定ファイル`<filename>.conf`に名前を付ける際は、適切なタイミングで読み込まれることを確認してください。 例えば、`spacewalk-www.conf`で定義された内容を上書きするには、新しいファイルがアルファベット順でこのファイルの後に来る必要があります。 Apacheがファイルを読み込む方法についての詳細は、 https://httpd.apache.org/docs.を参照してください。

HSTSが、SUSE Multi-Linux Managerによって生成されたデフォルトのSSL証明書または自己署名証明書を使用している間に有効になっている場合、ブラウザはそのような証明書に署名するために使用されたCAがブラウザによって信頼されていない限り、HTTPSで接続を拒否します。 SUSE Multi-Linux Managerによって生成されたSSL証明書を使用している場合は、`http://<SERVER-HOSTNAME>/pub/RHN-ORG-TRUSTED-SSL-CERT`にあるファイルをすべてのユーザーのブラウザにインポートすることで信頼できます。