HSTS-Sicherheitskopf ist jetzt Standard

FlexNet Manager Suite Version 2020 R2

In Übereinstimmung mit den aktuellen Best Practices für die Sicherheit webbasierter Anwendungen gibt der Präsentationsserver für die Weboberfläche von FlexNet Manager Suite ab Version 2020 R2 den HSTS-Kopf (HTTP Strict Transport Security) bei allen Antworten aus. Dieser Kopf weist alle Client-Webbrowser an, HTTPS für den Zugriff auf den Präsentationsserver zu erzwingen.

Es ist unwahrscheinlich, dass Sie direkte Änderungen im Verhalten bemerken, wenn der HSTS-Kopf eingerichtet ist:

• Wenn Sie bereits das sichere HTTPS-Protokoll für den Zugriff auf den Präsentationsserver verwenden, wird dieser Zugriff ohne Beeinflussung fortgesetzt.
• Wenn Sie immer das Standardprotokoll HTTP verwenden, um auf die Weboberfläche von FlexNet Manager Suite zuzugreifen, wird das auch ohne Änderung fortgesetzt. Der Client-Webbrowser erzwingt die Verwendung von HTTPS erst, nachdem auf den Präsentationsserver unter Verwendung des HTTPS-Protokolls erfolgreich ohne Zertifikatsfehler zugegriffen wurde.

Diese letztere Aktivierungsmethode hat zur Folge, dass in verschiedenen Umgebungen zwei unterschiedliche Protokolle verwendet werden können. Zum Beispiel:

• In Ihrer Produktivumgebung möchten Sie die bewährte Sicherheitspraktik durchsetzen, indem Sie für den Zugriff auf den Präsentationsserver das HTTPS-Protokoll verlangen. Hier hilft Ihnen ein Webbrowser, der auf den HSTS-Kopf antwortet (zum Beispiel korrigiert er automatisch die Server-URL, wenn diese aus Versehen mit dem HTTP-Protokoll eingegeben wurde, und sendet die Anforderung unter Verwendung des HTTPS-Protokolls).
• Vielleicht haben Sie außerdem eine kleine Testimplementierung in einem weniger exponierten Netzwerk, für die Sie immer nur das HTTP-Protokoll verwendet (und offensichtlich keine 307-Redirects zum alternativen Protokoll HTTPS konfiguriert) haben. Der Client-Webbrowser funktioniert hier weiterhin mit dem Standardprotokoll HTTP, da die HSTS-Anforderung nicht durch einen erfolgreichen Zugriff unter Verwendung von HTTPS ausgelöst wurde.

Die Nutzung des HTTPS-Protokolls (durch die Antwort des HSTS-Kopfes erzwungen) bedeutet natürlich auch, dass alle Sicherheitszertifikate des Servers immer auf dem neuesten Stand sein müssen, da bei einem möglichen künftigen Zertifikatsfehler kein alternativer Zugriff auf den Server möglich ist.