HTTP Strict Transport Security
L’intestazione della risposta HTTP Strict-Transport-Security (HSTS) consente a un sito web (dominio) di indicare ai browser che è necessario accedervi esclusivamente tramite il protocollo HTTPS al posto del protocollo HTTP. Questo meccanismo aiuta a proteggere i siti web da attacchi informatici.
Per attivare HSTS per ESA Authentication Server:
1.Aprire il file C:\Program Files\ESET Secure Authentication\EIP.Core.WindowsService.exe.config con un editor di testo, ad esempio, Blocco note.
2.Aggiungere <add key="StrictTransportSecurityEnabled" value="true" /> a tale file dopo il tag <appSettings> (Impostazioni app).
|
Esempio di file EIP.Core.WindowsService.exe.config modificato <?xml version="1.0" encoding="utf-8"?> ... <configuration> <appSettings> <add key="StrictTransportSecurityEnabled" value="true" /> ... </appSettings> ... </configuration> ... |
... rappresenta il codice esistente nel file .config da lasciare intatto.
3.Riavviare il servizio ESACore
Per attivare HSTS per ESA Identity Provider Connector, applicare le modifiche indicate in precedenza nel file C:\Program Files\ESET Secure Authentication\IdentityProviderConnector\Web.config .
|
Fare attenzione ai browser che ricordano l’impostazione HSTS per ciascun dominio. L’abilitazione di HSTS nell’istanza ESA potrebbe influenzare altri siti web accessibili dallo stesso dominio (o nome host) dell’istanza di ESA in uso. Per evitare questo problema, rendere l’istanza di ESA accessibile in un dominio separato (nome host). Aggiungere il dominio ai record DNS o al file host e rigenerare il certificato ESA per includere tale dominio nel nome del soggetto del certificato (e/o nome alternativo del soggetto). |
