HTTP严格传输安全

✍ dations ◷ 2024-12-23 08:38:33 #HTTP,网络安全,互联网标准,电脑安全,密码学,传输层安全协议

HTTP严格传输安全(英语:HTTP Strict Transport Security,缩写:HSTS)是一套由互联网工程任务组发布的互联网安全策略机制。网站可以选择使用HSTS策略,来让浏览器强制使用HTTPS与网站进行通信,以减少会话劫持风险。

其征求修正意见书文件编号是RFC 6797,发布于2012年11月。

HSTS的作用是强制客户端(如浏览器)使用HTTPS与服务器创建连接。服务器开启HSTS的方法是,当客户端通过HTTPS发出请求时,在服务器返回的超文本传输协议(HTTP)响应头中包含Strict-Transport-Security字段。非加密传输时设置的HSTS字段无效。

比如,https://example.com/ 的响应头含有Strict-Transport-Security: max-age=31536000; includeSubDomains。这意味着两点:

HSTS的雏形来自于2008年4月在北京召开的第十七届国际万维网大会(英语:International World Wide Web Conference)上柯林·杰克逊(Collin Jackson)和亚当·巴斯(Adam Barth)的题为“ForceHTTPS: Protecting High-Security Web Sites from Network Attacks”的演讲。他们的提议是使用“ForceHTTPS” Cookie来强制浏览器使用HTTPS。

2009年9月18日,他们和杰夫·霍奇斯(Jeff Hodges)发布了最初的草案,题目为"Strict Transport Security",这个草案基于ForceHTTPS,并有所修改。

2010年6月17日,这三位作者经由互联网工程任务组发布了首版互联网草案(英语:Internet Draft),"HTTP Strict Transport Security"。

2012年10月2日,互联网工程指导组(英语:Internet Engineering Steering Group)批准了将第14版HSTS草案发布为RFC的请求。

2012年11月19日,互联网工程任务组发布RFC 6797。

HSTS可以用来抵御SSL剥离攻击。SSL剥离攻击是中间人攻击的一种,由Moxie Marlinspike(英语:Moxie Marlinspike)于2009年发明。他在当年的黑帽大会上发表的题为“New Tricks For Defeating SSL In Practice”的演讲中将这种攻击方式公开。SSL剥离的实施方法是阻止浏览器与服务器创建HTTPS连接。它的前提是用户很少直接在地址栏输入https://,用户总是通过点击链接或3xx重定向,从HTTP页面进入HTTPS页面。所以攻击者可以在用户访问HTTP页面时替换所有https://开头的链接为http://,达到阻止HTTPS的目的。

HSTS可以很大程度上解决SSL剥离攻击,因为只要浏览器曾经与服务器创建过一次安全连接,之后浏览器会强制使用HTTPS,即使链接被换成了HTTP。

另外,如果中间人使用自己的自签名证书来进行攻击,浏览器会给出警告,但是许多用户会忽略警告。HSTS解决了这一问题,一旦服务器发送了HSTS字段,将不再允许用户忽略警告。

用户首次访问某网站是不受HSTS保护的。这是因为首次访问时,浏览器还未收到HSTS,所以仍有可能通过明文HTTP来访问。解决这个不足目前有两种方案,一是浏览器预置HSTS域名列表,Google Chrome、Firefox、Internet Explorer和Microsoft Edge实现了这一方案。二是将HSTS信息加入到域名系统记录中。但这需要保证DNS的安全性,也就是需要部署域名系统安全扩展。截至2016年这一方案没有大规模部署。

由于HSTS会在一定时间后失效(有效期由max-age指定),所以浏览器是否强制HSTS策略取决于当前系统时间。部分操作系统经常通过网络时间协议更新系统时间,如Ubuntu每次连接网络时、OS X Lion每隔9分钟会自动连接时间服务器。攻击者可以通过伪造NTP信息,设置错误时间来绕过HSTS。解决方法是认证NTP信息,或者禁止NTP大幅度增减时间。比如Windows 8每7天更新一次时间,并且要求每次NTP设置的时间与当前时间不得超过15小时。

根据SSL Pulse的调查,截至2015年2月,仅有2.7%的网站开启了HSTS。目前支持HSTS的主流网站有:支付宝、PayPal、Twitter、维基百科邮件列表等。

相关

  • 特殊奥林匹克运动会特殊奥林匹克运动会(英文:Special Olympics)是为智能障碍者所设计的国际体育竞赛。特殊奥运会每两年举行一次,夏季及冬季交替举行。特殊奥林匹克运动会由尤妮丝·肯尼迪·史瑞佛
  • τ子τ子(tauon),又称陶子、濤子,是带负电荷、自旋1⁄2的基本粒子,标记为τ−,由马丁·佩尔实验团队于1975年发现。τ子、电子、μ子与对应的三种中微子,都归属于轻子;τ子是第三代轻子,
  • 第四波第四波女性主义(英语:Fourth-wave feminism),或者说第四次女性主义浪潮,指的是2012年左右开始的又一次女性主义的复兴,它与社交媒体联系在一起。根据女性主义学者普鲁登斯·张伯伦
  • 淇滨区淇滨区是中华人民共和国河南省鹤壁市的一个市辖区,位于淇县北部,浚县西部,毗邻太行山,北接安阳市汤阴县。淇滨区下辖4街道办事处2镇2乡:金山街道、大赉店镇、钜桥镇、上峪乡、大
  • Adobe ShockwaveAdobe Shockwave(前为Macromedia Shockwave)是一个基于网页浏览器的多媒体平台,用于交互式应用程序和视频游戏。它是Macromedia在Flash之前最成功的多媒体播放器。它能将Adobe
  • 多桑の纯萃年代石峰、李运庆、连静雯、小薰、 尹昭德、陈霆、梁正群、阿诺、高山峰、茵芙《多桑の纯萃年代》,官方英文名,是2016年中国电视公司八点档连续剧,东映制作与艾迪昇传播联合摄制,为
  • 艾利克斯·德·拉·伊格莱希亚艾利克斯·德·拉·伊格莱希亚(西班牙语:Álex de la Iglesia;1965年12月4日-)是西班牙电影工作者与漫画家,他的电影融合西洋穴怪图像与非常黑暗的元素,像是死亡与谋杀。 艾利克斯
  • 恐怖大妈《马大姐》(英语:,港台译《恐怖大妈》)是一部2019年美国心理恐怖片。由塔特·泰勒导演及共同编剧斯科提·兰德斯。演员奥克塔维亚·斯宾塞、茱莉叶·路易丝、黛娜·席维尔、卢克
  • 山楂糕山楂糕是中国北方常见的一种甜食,北京俗称京糕。以山楂榨汁煮沸后加白糖、琼脂、明矾等入模凝结而成。类似于西方的果冻、布丁。山楂糕甘冽微酸,适量食用有助于消积化滞,促进饮
  • 东留春乡东留春乡,是中华人民共和国河北省保定市定州市下辖的一个乡镇级行政单位。东留春乡下辖以下地区:东留春社区村、北邵村社区村、西留春村、邵村、西王耨村、董家庄村、大王耨村