Насколько безопасен https

Безопасность HTTPS

Коротко: HTTPS очень безопасен для защиты передачи данных, но это только часть полной стратегии безопасности. Есть ограничения, которые важно понимать.

Что именно защищает HTTPS

HTTPS = HTTP + TLS/SSL шифрование

# Когда браузер отправляет запрос через HTTPS:

HTTP (незашифрованный):
Send: POST /api/login
Content: {
    "username": "john",
    "password": "secret123"  # Видно в сети!
}

HTTPS (шифрованный):
Send: [ЗАШИФРОВАННЫЕ ДАННЫЕ]
# Никто в сети не может прочитать пароль

Угрозы, которые защищает HTTPS

1. Man-in-the-Middle (MITM) атака

Без HTTPS:
Клиент ---> [Хакер перехватывает] ---> Сервер

С HTTPS:
Клиент <=TLS handshake=> Сервер
[Хакер не может расшифровать]

2. Перехват пароля в общественной WiFi

# Без HTTPS в кофейне:
# Хакер в WiFi видит: POST /login?user=john&pass=secret

# С HTTPS:
# Хакер видит только зашифрованные пакеты

3. Подмена сертификата

Хакер не может выдать себя за https://facebook.com
потому что браузер проверяет цифровую подпись сертификата

Что НЕ защищает HTTPS

1. Утечки логики приложения

# HTTPS шифрует передачу, но не логику

# Уязвимый код:
@app.post("/api/balance")
def get_balance(user_id: int):
    # УЯЗВИМОСТЬ: можно узнать баланс любого пользователя
    return get_user_balance(user_id)  # Нет проверки авторизации

# HTTPS не поможет, нужна авторизация в коде
@app.post("/api/balance")
def get_balance(user_id: int, current_user = Depends(get_current_user)):
    if current_user.id != user_id:
        raise HTTPException(status_code=403)
    return get_user_balance(user_id)

2. SQL Injection

# Даже через HTTPS!

# Уязвимо:
query = f"SELECT * FROM users WHERE name = '{user_input}'"
# Атакующий отправляет через HTTPS:
# user_input = "'; DROP TABLE users; --"

# HTTPS защищает передачу, но не от SQL инъекций
# Решение: подготовленные запросы

query = "SELECT * FROM users WHERE name = %s"
db.execute(query, (user_input,))

3. XSS (Cross-Site Scripting)

# HTTPS не защищает от XSS

# Уязвимый код (React):
function Comment({ content }):
    return <div>{content}</div>  # Уязвимо!
    # Если content = "<img src=x onerror=alert('hacked')>"

# Решение:
return <div>{escapeHtml(content)}</div>

4. Утечка в логах

# Плохо: HTTPS не поможет, если логируешь пароль
import logging

logger = logging.getLogger(__name__)
logger.info(f"User logged in: {username}, password: {password}")  # БАД!
# Пароль в логах = уязвимость

# Хорошо:
logger.info(f"User logged in: {username}")

5. Скомпрометированный сертификат

Если приватный ключ сервера украден:
- Хакер может выдать себя за сервер
- Шифрование перестаёт работать

Решение: Сертификаты с коротким сроком действия
(Let's Encrypt выдаёт на 90 дней)

6. Данные на диске без шифрования

# HTTPS защищает передачу, но не хранение

# Плохо:
user_passwords = "admin123", "secret456"  # Хранятся в БД открытыми

# Хорошо:
from passlib.context import CryptContext

pwd_context = CryptContext(schemes=["bcrypt"], deprecated="auto")
hashed_password = pwd_context.hash(password)  # Хэшируем перед сохранением

TLS версии и уязвимости

Историческое развитие:

SSL 2.0     - Взломан
SSL 3.0     - Уязвим
TLS 1.0     - Уязвим (POODLE атака)
TLS 1.1     - Уязвим
TLS 1.2     - Безопасен ✅ (обязателен)
TLS 1.3     - Безопасен ✅ (современный стандарт)

Проверка поддержки TLS 1.3 на сервере:

openssl s_client -connect example.com:443 -tls1_3

Правильная реализация HTTPS в приложении

# FastAPI с HTTPS
from fastapi import FastAPI
from fastapi.middleware.cors import CORSMiddleware
from fastapi.middleware.httpsredirect import HTTPSRedirectMiddleware

app = FastAPI()

# 1. Редирект с HTTP на HTTPS
app.add_middleware(HTTPSRedirectMiddleware)

# 2. HSTS (HTTP Strict Transport Security)
from fastapi.middleware.trustedhost import TrustedHostMiddleware

app.add_middleware(
    TrustedHostMiddleware,
    allowed_hosts=["example.com", "www.example.com"]
)

# 3. CORS с ограничениями
app.add_middleware(
    CORSMiddleware,
    allow_origins=["https://trusted-domain.com"],  # Только HTTPS!
    allow_credentials=True,
    allow_methods=["GET", "POST"],
    allow_headers=["*"],
)

# 4. Безопасные cookies
@app.post("/login")
def login(credentials: Credentials):
    response = JSONResponse({"status": "ok"})
    response.set_cookie(
        "session_id",
        value=generate_session(),
        secure=True,           # Только по HTTPS
        httponly=True,         # Не доступна JavaScript
        samesite="Strict",     # CSRF защита
        max_age=3600
    )
    return response

Проверка безопасности сертификата

# Убедись что сертификат валиден
import ssl
import socket

hostname = "example.com"
context = ssl.create_default_context()

try:
    with socket.create_connection((hostname, 443)) as sock:
        with context.wrap_socket(sock, server_hostname=hostname) as ssock:
            cert = ssock.getpeercert()
            print(f"Сертификат: {cert['subject']}")
            print(f"Издатель: {cert['issuer']}")
            print(f"Действителен до: {cert['notAfter']}")
except ssl.SSLError as e:
    print(f"ОШИБКА SSL: {e}")  # Сертификат скомпрометирован!

Лучшие практики

1. Always use HTTPS in production

# Обязательно в prod
if not request.is_secure and os.getenv('ENVIRONMENT') == 'production':
    raise HTTPException(status_code=403, detail="HTTPS required")

2. Шифруй чувствительные данные

from cryptography.fernet import Fernet

cipher = Fernet(ENCRYPTION_KEY)
encrypted_data = cipher.encrypt(sensitive_data.encode())

3. Используй HTTPS для всех запросов (API, JS, CSS)

<!-- Плохо: смешанный контент -->
<script src="http://cdn.example.com/app.js"></script>

<!-- Хорошо -->
<script src="https://cdn.example.com/app.js"></script>

4. Используй HSTS (заголовок Strict-Transport-Security)

@app.middleware("http")
async def add_hsts_header(request: Request, call_next):
    response = await call_next(request)
    response.headers["Strict-Transport-Security"] = "max-age=31536000; includeSubDomains"
    return response

Вывод

HTTPS очень безопасен для защиты передачи данных, но это только один слой. Полная безопасность требует:

1. HTTPS обязателен для production (защита от MITM)
2. Авторизация в коде (HTTPS не защищает от logic bugs)
3. Валидация входных данных (защита от SQL injection, XSS)
4. Хеширование паролей (защита при утечке БД)
5. Шифрование чувствительных данных (защита на диске)
6. Логирование без секретов (защита логов)
7. TLS 1.2 или выше (современные стандарты)

HTTPS = необходимо, но недостаточно. Это часть defense-in-depth стратегии.