Definicje Terminów Bezpieczeństwa

1. HSTS (HTTP Strict Transport Security)

HSTS to mechanizm bezpieczeństwa, który wymusza na przeglądarkach używanie tylko połączeń HTTPS do określonej domeny. Gdy przeglądarka po raz pierwszy połączy się z witryną, która obsługuje HSTS, otrzymuje nagłówek, który informuje ją, że ma używać tylko HTTPS przez określony czas. Dzięki temu, nawet jeśli użytkownik wpisze "http://", przeglądarka automatycznie przekieruje go na "https://". HSTS zwiększa bezpieczeństwo, chroniąc przed atakami typu downgrade i atakami "man-in-the-middle".

2. PFS (Perfect Forward Secrecy) lub FS (Forward Secrecy)

PFS to technika używana w protokołach szyfrowania, która zapewnia, że sesje szyfrowane pozostają bezpieczne, nawet jeśli klucz prywatny serwera zostanie ujawniony w przyszłości. Dzięki PFS każda sesja szyfrowania używa unikalnego klucza, który jest generowany na czas trwania sesji i nie jest przechowywany. W rezultacie, nawet jeśli klucz prywatny serwera zostanie skompromitowany, klucze sesji pozostają bezpieczne i nie mogą być odszyfrowane.

3. ALPN (Application-Layer Protocol Negotiation)

ALPN to rozszerzenie protokołu TLS, które pozwala klientowi i serwerowi uzgodnić, który protokół aplikacji (np. HTTP/1.1, HTTP/2) będzie używany do komunikacji podczas nawiązywania połączenia TLS. Dzięki ALPN, serwer może szybko i efektywnie obsługiwać różne protokoły, co poprawia wydajność i doświadczenie użytkownika.

4. NPN (Next Protocol Negotiation)

NPN to wcześniejsza wersja ALPN, która również umożliwia negocjację protokołów aplikacji w czasie nawiązywania połączenia TLS. NPN była używana głównie w protokole TLS 1.2 i nie jest już powszechnie stosowana, ponieważ ALPN stało się standardem w protokole TLS 1.3 i nowszych.

5. CAA (Certification Authority Authorization)

CAA to mechanizm, który pozwala właścicielom domen określić, które centra certyfikacji (CA) mają prawo wystawiać certyfikaty dla danej domeny. Właściciele mogą skonfigurować rekord CAA w swoich DNS, aby zdefiniować, które CA mogą wystawiać certyfikaty. To zabezpieczenie pomaga zapobiegać nieautoryzowanemu wydawaniu certyfikatów dla danej domeny.

6. OCSP (Online Certificate Status Protocol)

OCSP to protokół używany do sprawdzania statusu certyfikatu SSL/TLS w czasie rzeczywistym. Zamiast polegać na listach unieważnień certyfikatów (CRL), które muszą być regularnie pobierane i aktualizowane, OCSP umożliwia przeglądarkom i innym klientom bezpośrednie zapytanie serwera OCSP o status certyfikatu. Odpowiedź może wskazywać, czy certyfikat jest ważny, unieważniony lub nieznany. OCSP przyspiesza proces weryfikacji certyfikatów i zwiększa bezpieczeństwo komunikacji.

XSS (Cross-Site Scripting)

Atak, w którym złośliwy kod JavaScript jest wstrzykiwany do strony, co może prowadzić do kradzieży danych użytkownika lub manipulacji w ich imieniu. Może wystąpić w różnych formach, takich jak Reflected XSS, Stored XSS i DOM-based XSS.

CSP (Content Security Policy)

Polityka bezpieczeństwa, która pozwala na określenie, które źródła zasobów mogą być używane przez stronę, co może pomóc w zapobieganiu atakom XSS. Działa poprzez dodanie nagłówka Content-Security-Policy, który definiuje dozwolone źródła dla skryptów, obrazów itp.