<div dir="ltr"><div class="gmail_extra"><div><div class="gmail_signature" data-smartmail="gmail_signature">On Thu, Jul 5, 2018 at 12:40 PM, Nishant Kumar E <span dir="ltr"><<a href="mailto:nishant.e.kumar@ericsson.com" target="_blank">nishant.e.kumar@ericsson.com</a>></span> wrote:<br></div></div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">





<div lang="EN-US" link="blue" vlink="purple">
<div class="m_3653265378173510000WordSection1">
<p class="MsoNormal">Hi,<u></u><u></u></p>
<p class="MsoNormal"><u></u> <u></u></p>
<p class="MsoNormal">I have registered a blueprint for adding http security headers -
<a href="https://blueprints.launchpad.net/cinder/+spec/http-security-headers" target="_blank">https://blueprints.launchpad.<wbr>net/cinder/+spec/http-<wbr>security-headers</a>
<u></u><u></u></p>
<p class="MsoNormal"><u></u> <u></u></p>
<p class="MsoNormal">Reason for introducing this change - I work for AT&T cloud project – Network Cloud (Earlier known as AT&T integrated Cloud). As part of working there we have introduced this change within all the services as kind of a downstream change
 but would like to see it a part of upstream community. While we did not face any major threats without this change but during our investigation process we found that if dealing with web services we should maximize the security as much as possible and came
 up with a list of HTTP security headers that we should include as part of the OpenStack services. I would like to introduce this change as part of cinder to start off and then propagate this to all the services.<u></u><u></u></p>
<p class="MsoNormal"><u></u> <u></u></p>
<p class="MsoNormal">Some reference links which might give more insight into this:<u></u><u></u></p>
<ul type="disc">
<li class="MsoNormal" style="margin-left:0in">
<a href="https://www.owasp.org/index.php/OWASP_Secure_Headers_Project#tab=Headers" target="_blank">https://www.owasp.org/index.<wbr>php/OWASP_Secure_Headers_<wbr>Project#tab=Headers</a>
<u></u><u></u></li><li class="MsoNormal" style="margin-left:0in">
<a href="https://www.keycdn.com/blog/http-security-headers/" target="_blank">https://www.keycdn.com/blog/<wbr>http-security-headers/</a>
<u></u><u></u></li><li class="MsoNormal" style="margin-left:0in">
<a href="https://securityintelligence.com/an-introduction-to-http-response-headers-for-security/" target="_blank">https://securityintelligence.<wbr>com/an-introduction-to-http-<wbr>response-headers-for-security/</a>
<u></u><u></u></li></ul>
<p class="MsoNormal">Please let me know if this looks good and whether it can be included as part of Cinder followed by other services. More details on how the implementation will be done is mentioned as part of the blueprint but any better ideas for implementation
 is welcomed too !!</p></div></div></blockquote><div><br></div><div><div style="font-size:small;text-decoration-style:initial;text-decoration-color:initial;background-color:rgb(255,255,255)">Wouldn't this be a job for the HTTP server in front of cinder (or whatever service)? Especially "Strict-Transport-Security" as one shouldn't be enabling that without ensuring a correct TLS config.</div><div style="font-size:small;text-decoration-style:initial;text-decoration-color:initial;background-color:rgb(255,255,255)"><br></div><div style="font-size:small;text-decoration-style:initial;text-decoration-color:initial;background-color:rgb(255,255,255)">Bonus points in that upstream wouldn't need any changes, and we won't need to change every project. :)</div><div style="font-size:small;background-color:rgb(255,255,255);text-decoration-style:initial;text-decoration-color:initial"><br></div><span style="font-size:small;background-color:rgb(255,255,255);text-decoration-style:initial;text-decoration-color:initial;float:none;display:inline">// jim</span></div></div></div></div>