KRACK (または同様の MITM) 攻撃から Apache を保護するにはどうすればよいでしょうか?

Question

でビデオセキュリティ研究者の Mathy Vanhoef 氏は、自身の Web サイト www.krackattacks.com で、HTTPS 接続を HTTP にダウングレードしてログオン資格情報を傍受することが可能であることを実証しました。

私は小さな https サーバー (Apache、Ubuntu 16.04) を実行しており、HTTPS 要求をダウングレードする試みをすべて拒否するように構成したいと考えています。

1. Apache インスタンスが HTTPS を HTTP にダウングレードするブラウザ要求を受け入れて尊重するかどうかを確認するにはどうすればよいですか?

2. ブラウザからのこのようなリクエストを拒否するように Apache を再構成するにはどうすればよいでしょうか?

3. 上記 (2) を行わない理由はありますか? 古いブラウザを使用しているユーザーをサポートすることは考えられますが、他に見落としている点はありますか?

Answer 1

1 つのオプションは、単に http を許可せず、https のみを許可することです。

もう 1 つのオプションは、HTTP Strict Transport Security を使用することです。

Apacheでこれを行うには、

ヘッダーは常に Strict-Transport-Security "max-age=31536000; includeSubDomains" に設定されます

TLS が有効になっている仮想ホストへ。また、これが確実に機能するように、http で行われたすべてのリクエストを https にリダイレクトする必要があります。