PowerStore: Chyba zabezpečení nahlásila, že chybí HSTS, nevynucuje

HTTP Strict Transport Security (HSTS) je volitelná hlavička odpovědi, kterou je možné nakonfigurovat na serveru tak, aby prohlížeč komunikoval pouze přes protokol HTTPS. Absence HSTS umožňuje downgradové útoky, útoky typu man-in-the-middle odstraňující SSLa oslabuje ochranu proti napadení souborů cookie při používání protokolu HTTP.

Při použití pouze protokolu HTTPS nedochází k žádnému přesměrování, a proto není potřeba HSTS. Jedná se o falešně pozitivní výsledek, který by se nevztahoval na zařízení PowerStore, pokud je přesměrování HTTP na HTTPS zakázáno. Jedná se o doporučenou konfiguraci s využitím našeho dokumentu se vzorovými postupy zabezpečení.

Přesměrování HTTP na HTTPS je ve výchozím nastavení zakázáno:
Strana 63 příručky

ke konfiguraci zabezpečení zařízení PowerStoreKdyž je přesměrování HTTPS zakázáno, protokol HTTPS je pouze vystaven, protokol HTTP (port 80) je blokován.
Protokol HTTP není z bezpečnostních důvodů podporován.  Povolením funkce přesměrování HTTP na HTTPS umožníte automatické přesměrování uživatelů přecházejících do nástroje PowerStore Manager z protokolu HTTP: Chcete-li https://. Povolení přesměrování HTTP je však méně bezpečné, než kdyby uživatelé zadali celou adresu https:// při přihlášení do nástroje PowerStore Manager.
Povolení nebo zakázání funkce přesměrování HTTP na HTTPS je operace v rámci celého clusteru.

RFC6797Podpěrný Nessus 8450 a 142960