PowerStore: Schwachstelle gemeldet, dass HSTS fehlt und nicht erzwungen wird

HTTP Strict Transport Security (HSTS) ist ein optionaler Antwortheader, der auf dem Server so konfiguriert werden kann, dass der Browser angewiesen wird, nur über HTTPS zu kommunizieren. Das Fehlen von HSTS ermöglicht Downgrade-Angriffe, SSL-Stripping-Man-in-the-Middle-Angriffe und schwächt den Schutz vor Cookie-Hijacking bei der Verwendung von HTTP.

Wenn Sie nur HTTPS verwenden, gibt es keine Umleitung und daher ist kein HSTS erforderlich. Dies ist ein falsch positives Ergebnis und gilt nicht für PowerStore, wenn die HTTP-zu-HTTPS-Umleitung deaktiviert ist. Dies ist die empfohlene Konfiguration gemäß unserem Dokument zu Best Practices für die Sicherheit.

Die HTTP-zu-HTTPS-Umleitung ist standardmäßig deaktiviert:
Seite 63 des PowerStore-Sicherheitskonfigurationsleitfadens 

Bei deaktivierter HTTPS-Umleitung wird HTTPS nur verfügbar gemacht, HTTP (Port 80) wird blockiert.
HTTP wird aus Sicherheitsgründen nicht unterstützt. Durch Aktivieren der Funktion "HTTP-Redirect zu HTTPS" können Nutzer, die zu PowerStore Manager wechseln, automatisch von HTTP umgeleitet werden: Zu https://. Das Aktivieren der HTTP-Umleitung ist jedoch weniger sicher als die Eingabe der vollständigen https:// Adresse bei der Anmeldung bei PowerStore Manager.
Das Aktivieren oder Deaktivieren der HTTP-Redirect-Funktion zu HTTPS ist ein clusterweiter Vorgang.

RFC6797Tenable Nessus 8450 und 142960