Hvorfor Omdirigerer Safari Til HTTPS?

Som iPhone- og Mac-bruger har du måske oplevet den frustrerende situation, hvor Safari automatisk forsøger at omdirigere en hjemmeside, du forsøger at tilgå via HTTP, til HTTPS. Ofte ender dette med en fejlmeddelelse om, at Safari ikke kan oprette en sikker forbindelse til serveren. Det kan virke forvirrende og irriterende, især hvis du ved, at hjemmesiden faktisk eksisterer og fungerer fint via HTTP i andre browsere. Men denne adfærd er ikke en fejl; det er en bevidst sikkerhedsfunktion, primært drevet af noget, der kaldes HSTS. Lad os dykke ned i, hvad det betyder, hvorfor det sker, og hvad du kan gøre ved det.

For at forstå Safaris adfærd er det vigtigt at kende forskellen mellem HTTP og HTTPS. HTTP (Hypertext Transfer Protocol) er den grundlæggende protokol, der bruges til at overføre data over internettet. Den har tjent os godt i årtier, men den har en væsentlig ulempe: data sendes i klartekst. Det betyder, at hvis en angriber opsnapper din kommunikation, kan de læse alt, hvad du sender og modtager – dine loginoplysninger, personlige data, og mere. Her kommer HTTPS (HTTP Secure) ind i billedet. HTTPS er en sikker version af HTTP, der bruger SSL/TLS-kryptering til at beskytte data under overførsel. Dette sikrer, at din kommunikation er privat og ikke kan aflyttes eller manipuleres af tredjeparter.

I dag er HTTPS standarden for sikker webkommunikation. Browsere som Safari, Chrome og Firefox advarer brugere om usikre HTTP-forbindelser, og mange hjemmesider er nu designet til udelukkende at fungere med HTTPS. Dette skift er afgørende for at beskytte brugernes privatliv og sikkerhed online. Men hvad er det præcist, der får Safari til at være så stædig med sine omdirigeringer?

Forståelse af HSTS: HTTP Strict Transport Security

Den primære årsag til Safaris aggressive omdirigering fra HTTP til HTTPS er en sikkerhedsforanstaltning kaldet HSTS (HTTP Strict Transport Security). HSTS er en webservers instruktion til browseren om, at en given hjemmeside udelukkende skal tilgås via HTTPS – altid. Når din browser besøger en hjemmeside, der sender en HSTS-header, husker den denne politik for en bestemt periode (f.eks. et år eller mere). Næste gang du forsøger at besøge den samme hjemmeside, selvom du indtaster http:// i URL-feltet, vil browseren automatisk og internt omdirigere anmodningen til https://, før den overhovedet kontakter serveren.

Dette er en yderst effektiv måde at forhindre forskellige typer angreb på, såsom 'man-in-the-middle'-angreb, hvor en angriber forsøger at nedgradere en sikker HTTPS-forbindelse til en usikker HTTP-forbindelse for at opsnappe data. HSTS sikrer, at din browser aldrig vil forsøge at oprette en usikker forbindelse til en side, den ved, understøtter HTTPS. Udover HSTS-headeren, som sendes af individuelle servere, findes der også en global HSTS-forudindlæsningsliste. Dette er en liste over domæner, der er hårdkodet ind i browsere (inklusive Safari) som værende 'kun HTTPS'. Disse domæner vil fra første besøg altid blive tilgået via HTTPS, hvilket giver et ekstra lag af sikkerhed, selv før browseren har modtaget en HSTS-header fra serveren.

Problemet opstår, når en hjemmeside, der engang understøttede HTTPS (og sendte en HSTS-header), senere går tilbage til kun at understøtte HTTP, eller hvis du forsøger at tilgå en lokal udviklingsserver, der kun kører HTTP, men som har samme domæne som en live-server, der bruger HTTPS og HSTS. I sådanne tilfælde vil Safari stædigt forsøge at etablere en HTTPS-forbindelse og fejle, fordi serveren ikke længere understøtter den. Browseren stoler på den gemte HSTS-politik og ignorerer din manuelle indtastning af http://.

Risici ved usikre HTTP-forbindelser

Selvom det kan virke som en unødvendig forhindring, når man bare vil teste en simpel side, er Safaris insisteren på HTTPS baseret på reelle sikkerhedsrisici. En forbindelse uden kryptering er åben for en række farer:

• Datatyveri og aflytning: Alle data, du sender eller modtager – logins, kreditkortnumre, personlige oplysninger – sendes i klartekst. En angriber på samme netværk (f.eks. et offentligt Wi-Fi) kan nemt opsnappe og læse disse data.
• Man-in-the-Middle (MITM) angreb: En angriber kan placere sig selv mellem din browser og hjemmesiden. De kan derefter læse, ændre eller injicere ondsindet indhold i den trafik, du udveksler, uden at du opdager det. Dette kan inkludere injektion af malware i downloadede filer.
• Kompromitterede logins og sessioner: Uden kryptering kan session-cookies og autentificeringstokens opsnappes. Dette giver angribere mulighed for at kapre din session og få adgang til din konto uden at kende dit password.
• Phishing og identitetstyveri: Det er nemmere for ondsindede aktører at efterligne en legitim hjemmeside via HTTP, da der ikke er et sikkerhedscertifikat at validere. Dette øger risikoen for phishing-angreb.
• Manglende integritet: Data, der sendes via HTTP, kan ændres undervejs uden at modtageren opdager det. HTTPS sikrer, at data er intakt og uændret.

Disse risici understreger, hvorfor moderne browsere og webudviklere prioriterer HTTPS. Det handler ikke kun om at beskytte følsomme oplysninger, men også om at sikre integriteten af den information, du modtager, og din generelle sikkerhed på nettet.

Hvorfor Safari er mere stram med HSTS end andre browsere

Du har måske bemærket, at Chrome og Firefox synes at være mere fleksible, når det kommer til at omgå HSTS-politikker, især for udviklere. Mens alle store browsere implementerer HSTS, kan deres interne håndtering af politikker og deaktiveringsmuligheder variere. Safari er kendt for sin stramme tilgang til sikkerhed og privatliv, hvilket ofte betyder færre 'bagdøre' eller nemme måder at deaktivere sikkerhedsfunktioner på, selv for avancerede brugere. Hvor Chrome og Firefox kan have mere tilgængelige indstillinger til at slette specifikke HSTS-politikker eller browserdata, er Safari mere lukket. Tidligere var der snak om at slette en fil kaldet ~/Library/Cookies/HSTS.plist, men denne metode fungerer ikke længere på de nyere versioner af Safari eller macOS.

Denne forskel i adfærd kan være frustrerende for udviklere, der har brug for at teste hjemmesider under forskellige forhold, herunder usikre HTTP-forbindelser. Det tvinger dem til at finde specifikke løsninger, som vi vil gennemgå i næste afsnit.

Løsninger og omgåelser for udviklere og testere

Hvis du er en udvikler eller tester, der absolut har brug for at tilgå en HTTP-side i Safari, der konstant omdirigerer til HTTPS på grund af HSTS, er der primært én pålidelig metode:

Brug Safari Technology Preview

Den mest effektive løsning er at downloade og bruge Safari Technology Preview. Dette er en specialudgave af Safari, som Apple udgiver for at teste nye funktioner og teknologier, før de implementeres i den almindelige Safari-udgave. En af de store fordele ved Safari Technology Preview for udviklere er muligheden for at rydde HSTS-politikker for specifikke domæner. Sådan gør du:

1. Download og installer Safari Technology Preview (du skal muligvis kopiere linket manuelt, da direkte links ikke er tilladt i dette format).
2. Åbn Safari Technology Preview.
3. Gå til menuen 'Udvikler' (Developer) i menulinjen. Hvis du ikke kan se den, skal du aktivere den under 'Indstillinger' (Preferences) > 'Avanceret' (Advanced) > 'Vis Udvikler-menu i menulinjen' (Show Develop menu in menu bar).
4. I Udvikler-menuen skal du finde 'Slet websidedata' (Clear Website Data) eller lignende indstillinger, der kan inkludere HSTS-politikker. Den mest direkte måde er ofte at bruge 'Inspektør' (Inspector) og navigere til 'Opbevaring' (Storage) og der slette specifikke cookies eller 'Strict Transport Security'-data for det pågældende domæne. I nogle versioner kan der være en direkte mulighed for at 'Ryd HSTS-politikker' (Clear HSTS Policies).
5. Når du har ryddet HSTS-politikken for den specifikke side i Safari Technology Preview, vil din 'normale' Safari-version også samle denne ændring op, da de deler visse data. Dette betyder, at du herefter burde kunne tilgå HTTP-versionen af siden i din almindelige Safari-browser.

Denne metode er især nyttig for udviklere, der tester lokale servere eller ældre systemer, som endnu ikke understøtter HTTPS. Det giver en kontrolleret måde at omgå den ellers stædige HSTS-adfærd på.

Kontakt hjemmesideadministratorer

Hvis det ikke er din egen hjemmeside, der forårsager problemet, er den bedste løsning at kontakte hjemmesideadministratorerne. Opmuntre dem til at implementere fuld HTTPS på deres side, hvis de ikke allerede har gjort det, og til at sikre, at deres HSTS-header er korrekt konfigureret. En velkonfigureret HTTPS-implementering vil fjerne behovet for disse omgåelser og forbedre sikkerheden for alle brugere.

Sammenligning: HTTP vs. HTTPS

For at opsummere de vigtigste forskelle, der driver Safaris adfærd, kan vi se på en direkte sammenligning:

Ofte Stillede Spørgsmål om Safari, HTTP og HTTPS

Q: Hvorfor får jeg en fejlmeddelelse, når jeg prøver at åbne en HTTP-side i Safari, selvom jeg ved, den virker?

A: Dette skyldes næsten altid HSTS (HTTP Strict Transport Security). Safari har gemt en politik, der fortæller den, at den pågældende hjemmeside kun må tilgås via HTTPS. Når serveren ikke svarer med en sikker forbindelse, får du en fejl.

Q: Kan jeg deaktivere HSTS i Safari permanent?

A: Ikke direkte i den almindelige Safari-version. Safari er designet til at prioritere brugersikkerhed, og der er ingen simpel indstilling til at slå HSTS fra. Den eneste kendte metode til at omgå det for specifikke sider er via Safari Technology Preview.

Q: Er det farligt at besøge en HTTP-side?

A: Ja, som udgangspunkt er det farligt. Data er ukrypteret og sårbar over for aflytning og manipulation. Hvis du udveksler følsomme oplysninger (som logins eller betalingsdata), er det yderst risikabelt. For statisk, ikke-følsomt indhold er risikoen mindre, men stadig til stede, da indholdet kan injiceres med malware.

Q: Hvorfor omdirigerer Safari automatisk http:// til https://?

A: Dette sker på grund af en HSTS-politik, som din browser enten har modtaget fra hjemmesiden ved et tidligere besøg, eller fordi domænet er på en forudindlæst HSTS-liste i Safari. Browseren "husker" at denne side kun er sikker via HTTPS.

Q: Vil Chrome eller Firefox også gøre dette?

A: Ja, Chrome og Firefox implementerer også HSTS og vil omdirigere på samme måde, hvis en HSTS-politik er aktiv for en side. Dog kan deres udviklerværktøjer og muligheder for at rydde specifikke HSTS-politikker være mere tilgængelige end i Safari.

I sidste ende handler Safaris adfærd om at beskytte dig. Selvom det kan virke besværligt i visse situationer, er dens strenge overholdelse af HSTS og insisteren på HTTPS en klar indikation af, hvor vigtig sikkerhed er i den digitale verden. For de fleste brugere er dette en usynlig, men vital, sikkerhedsforanstaltning, der holder deres data sikre. For udviklere er det en påmindelse om at prioritere HTTPS i deres projekter og at benytte de tilgængelige værktøjer som Safari Technology Preview til testformål.

Hvis du vil læse andre artikler, der ligner Hvorfor Omdirigerer Safari Til HTTPS?, kan du besøge kategorien Teknologi.