Web uygulamaları için güvenlik başlıkları ve TLS
Tarayıcıya güvenlik kurallarını bildiren başlıkları yazar, TLS sürümlerini, şifre takımlarını ve sertifika zincirini doğru kurar, sonucu araçlarla ölçüp sürekli izlersin.
Seviye 201 · 15 ders · 13 pratik lab
Dersler
Güvenlik başlıkları
- Güvenlik başlıklarına genel bakış: hangisi neyi korur
- HSTS: tarayıcıyı HTTPS’e kilitlemek ve ön yükleme listesi
- CSP başlığını yazmak: varsayılan kaynaklar ve rapor modu
- X-Content-Type-Options, Referrer-Policy ve Permissions-Policy
- Çapraz köken yalıtım başlıkları: COOP, COEP ve CORP
- Kısa görev: lab uygulamasının başlıklarını ölç ve eksikleri tamamla
TLS yapılandırması
- TLS el sıkışması: sunucu ne sunar, tarayıcı ne seçer
- Sertifikalar ve zincirler: eksik ara sertifika
- Protokol sürümleri ve şifre takımları: neyi kapatmalı
- ACME ile otomatik sertifika yenileme
- testssl.sh ve sslyze ile TLS denetimi
- Kısa görev: zayıf TLS ayarlarını bul, düzelt ve yeniden tara
Sürdürmek
- Çerez güvenliği denetimi: bayraklar, kapsam ve ön ekler
- Başlık ve sertifika değişikliklerini izlemek
- Bitirme görevi: bir siteyi en üst notlu başlık ve TLS yapılandırmasına taşı ve kanıtla
Pratik lablar
- Eksik güvenlik başlıklarını tamamla: Lab sitesinin yanıtlarını curl ile ölç, eksik X-Content-Type-Options ve Referrer-Policy başlıklarını ekle ve yeniden ölç.
- HSTS ama alt alan adları açıkta: HSTS başlığının alt alan adlarını kapsamadığını göster, includeSubDomains ve uygun max-age ile düzelt.
- Permissions-Policy ile kamera ve konum: Kamera ve konuma ihtiyacı olmayan sayfalarda bu izinleri kapatan bir politika yaz ve gömülü çerçevenin artık erişemediğini göster.
- Yalnızca bazı yollarda dönen başlıklar: Güvenlik başlıklarının hata sayfalarında ve statik dosyalarda eksik kaldığını bul ve tüm yanıtlara uygulanacak şekilde düzelt.
- COOP ve COEP ile çapraz köken yalıtımı: Bir sayfayı COOP ve COEP ile yalıt, kırılan üçüncü taraf kaynaklarını CORP ile düzelt ve yalıtımın etkin olduğunu kanıtla.
- Eksik ara sertifika: Lab sunucusunun zincirinde eksik ara sertifikayı bul, zinciri düzelt ve doğrulamanın başarılı olduğunu göster.
- Eski protokol sürümlerini kapat: testssl.sh ile açık kalan eski TLS sürümlerini ve zayıf şifre takımlarını bul, yapılandırmayı düzelt ve yeniden tara.
- Süresi dolmak üzere: otomatik yenileme: Süresi yaklaşan bir sertifika için lab CA'sına karşı ACME ile otomatik yenileme kur ve yenilemenin çalıştığını göster.
- sslyze bulgularını önceliklendir: sslyze çıktısındaki bulguları etkisine göre sırala, kritik olanları düzelt ve kalanlar için gerekçeli kabul notu yaz.
- Ters vekilde TLS ve arka uç bağlantısı: TLS'in vekilde bitip arka uca düz metin gittiğini göster ve iç bağlantıyı da lab CA'sıyla şifreleyip doğrula.
- Çerez denetimi: bayraklar ve ön ekler: Lab sitesinin tüm çerezlerini listele, bayrakları ve kapsamı eksik olanları düzelt ve __Host- önekini uygula.
- Başlık gerilemesini yakalayan kontrol: Güvenlik başlıklarını ve sertifika süresini her gün kontrol eden bir betik yaz ve kasıtlı bir gerilemeyi yakaladığını göster.
- En üst notlu yapılandırmaya taşı: Kurgusal Halcyra Otel sitesini başlık ve TLS açısından en üst seviyeye taşı ve önce-sonra tarama çıktısıyla kanıtla.
Kurs hakkında
Tarayıcıya güvenlik kurallarını bildiren başlıkları yazar, TLS sürümlerini, şifre takımlarını ve sertifika zincirini doğru kurar, sonucu araçlarla ölçüp sürekli izlersin.
Ne öğreneceksin
- Güvenlik başlıkları
- TLS yapılandırması
- Sürdürmek
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.