Microsoft voorziet Exchange Server 2016 en 2019 van HSTS-support

[Captain Kirk]

Microsoft heeft support voor HTTP Strict Transport Security (HSTS) toegevoegd aan Exchange Server 2016 en 2019, zo heeft het techbedrijf aangekondigd. "HSTS is een manier die websites tegen man-in-the-middle-aanvallen moet beschermen, zoals protocol downgrade-aanvallen en het kapen van cookies", aldus de uitleg van Microsoft. Webservers kunnen door middel van HSTS aangeven dat er alleen via HTTPS verbinding met de website mag worden gemaakt. Via de Strict-Transport-Security (STS) header laat de server aan de browser weten dat HSTS moet worden nageleefd.

HSTS voorkomt ook dat gebruikers waarschuwingen voor ongeldige certificaten, bijvoorbeeld omdat ze verlopen, niet worden vertrouwd of ongeldig zijn, kunnen negeren. Wanneer een aanvaller een downgrade of man-in-the-middle-aanval probeert uit te voeren, zal de browser dit detecteren en de verbinding niet opzetten, legt Microsoft verder uit. Volgens het techbedrijf was ondersteuning van HSTS een veelgevraagde feature door klanten. HSTS staat niet standaard ingeschakeld. Microsoft adviseert systeembeheerders die de feature willen inschakelen om de documentatie goed te lezen, omdat anders de Exchange-server onbereikbaar kan worden.

 

bron: https://www.security.nl