Secure Encrypted Connection on Georgian Website

Abstract

Ми докладаємо зусиль і витрачаємо багато часу, намагаючись захистити ІТ-інфраструктуру та сервіси. Ми ховаємо весь сегмент мережі за міжмережевими екранами, демілітаризованими зонами (DMZ) та іншими механізмами безпеки, щоб захистити дані від витоків і перехоплення. Але лишається одна точка — вебсайти. Вони є відкритими цілями й перебувають на першій лінії для зловмисників. Окрім поширених типів вебатак, як-от DoS, неправильно налаштована вебсторінка вразлива для кожного підключеного до неї користувача. Ця стаття присвячена тому, наскільки безпечно налаштовано грузинські вебсайти, загалом щодо HSTS — потужного захисту від атак «людина посередині» (MITM). У дослідженні розглянуто основні аспекти параметрів HSTS, описано головні проблеми в Грузії та розроблено шляхи їх вирішення. Згідно з дослідженням, лише 1 % грузинських вебсайтів обслуговується з HSTS. Також 39 % вебсторінок доступні через HTTP. Більшість із них підтримують HTTPS (HTTP із шифруванням і верифікацією), але через неправильне налаштування користувачі стикаються з критичними проблемами безпеки. У густонаселених містах, таких як Тбілісі, є висока доступність безкоштовних бездротових мереж. Це збільшує ризик опинитися в одній мережі зі зловмисниками та їхніми цілями, що само по собі подвоює ймовірність витоку даних, перехоплення мережевого трафіку тощо. Рівень обізнаності користувачів дуже низький, тому критично важливо підтримувати вебсервери настільки безпечно, щоб мінімізувати вразливості на стороні користувача.

We make an effort and spend loads of time trying to secure IT infrastructure and services. We hide the entire network segment behind firewalls, DMZs, and other security mechanisms to protect data breaches and interception. But, one point remains—websites. They are open targets and are in the first line for attackers. Except for common types of web attacks, like a DoS, a misconfigured webpage is vulnerable for every user connected to it. This article is about how securely Georgian websites are configured, generally concerning HSTS. Which is a powerful protection against MITM attacks. The study covers the main aspect of HSTS parameters, describes major problems in Georgia, and designs how they should be resolved. According to research, only 1% of Georgian websites are served under HSTS. Also, 39% of webpages are accessible via HTTP. The majority of them have HTTPS (HTTP with encryption and verification) support, but because of misconfiguration, users face critical security issues. In very populated cities, like Tbilisi, there are high availability of free wireless networks. This increases the risk of getting intruders and targets in the same network. Which itself doubles the probability of data breach, network sniffing, and so on. The level of user awareness is very low, so it is crucial to maintain web servers so securely, that minimize user-side vulnerabilities.