搜索

[24526] 2015-12-18_作为HTTPS的骨灰粉，怎么可以不加入HSTS预载入列表

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2015-12-18_作为HTTPS的骨灰粉，怎么可以不加入HSTS预载入列表 作 为   H T T P S   的 骨 灰 粉 ， 怎 么 可 以 不 加 入   H S T S   预 载 入 列 表 原 创   w x y   L i n u x 中 国   2 0 1 5 - 1 2 - 1 8 自 从 关 注 了   H T T P S ， L i n u x   中 国 就 成 了   H T T P S   的 铁 杆 粉 丝 了 ， 不 但 传 播 了 很 多   H T T P S   相 关 的 文 章 ， 而 且 身 体 力 行 的 将   h t t p : / / l i n u x . c n   也 切 换 到 了   h t t p s : / / l i n u x . c n   。 非 但 如 此 ， 还 激 进 地 配 置 了   H S T S 策 略 。 H S T S   是 什 么 ？ 如 果 一 个   w e b   服 务 器 支 持   H T T P   访 问 ， 并 将 其 重 定 向 到   H T T P S   访 问 的 话 ， 那 么 访 问 者 在 重 定 向 前 的 初 始 会 话 是 非 加 密 的 。 举 个 例 子 ， 比 如 访 问 者 输 入   h t t p : / / w w w . f o o . c o m /   或 直 接 输 入   f o o . c o m   时 。 这 就 给 了 中 间 人 攻 击 的 一 个 机 会 ， 重 定 向 可 能 会 被 破 坏 ， 从 而 定 向 到 一 个 恶 意 站 点 而 不 是 应 该 访 问 的 加 密 页 面 。 H T T P   严 格 传 输 安 全 （ H S T S ） 功 能 使   W e b   服 务 器 告 知 浏 览 器 绝 不 使 用   H T T P   访 问 ， 在 浏 览 器 端 自 动 将 所 有 到 该 站 点 的   H T T P   访 问 替 换 为 H T T P S   访 问 。 服 务 器 开 启   H S T S   的 方 法 是 ， 当 客 户 端 通 过   H T T P S   发 出 请 求 时 ， 在 服 务 器 返 回 的   H T T P   响 应 头 中 包 含 字 段 。 浏 览 器 接 收 到 这 样 的 信 息 之 后 ， 在 一 定 期 限 内 对 该 网 站 的 任 何 请 求 都 会 以   H T T P S   发 起 ， 而 不 会 以   H T T P   发 起 并 由 服 务 器 重 定 向 到 H T T P S 。 所 以 ， 我 们 早 早 就 配 置 上 了 所 以 ， 我 们 早 早 就 配 置 上 了   H S T S   响 应 头 了 。 响 应 头 了 。 当 前 浏 览 器 对   H S T S   的 支 持 如 下 ， 可 见 现 代 浏 览 器 已 经 绝 大 部 分 支 持 了 ： 浏 览 器 对   H S T S   的 支 持 S t r i c t - T r a n s p o r t - S e c u r i t y  
H S T S   预 载 入 列 表 但 是 ， 这 就 够 了 么 ？ 如 果 一 个 用 户 从 来 没 有 以   H T T P S   方 式 访 问 过 我 们 的 网 站 呢 ， 那 显 然 就 没 有 机 会 得 到   H S T S   响 应 头 ， 从 而 还 是 有 可 能 以 H T T P   的 方 式 进 行 首 次 访 问 — — 虽 然 我 们 已 经 做 了 很 多 自 动 和 强 制 的 引 导 ， 但 是 总 还 稍 有 缺 憾 ？ 所 以 ， 追 求 完 美 人 们 ， 又 提 出 了 一 个   H S T S p r e l o a d   l i s t 预 载 入 列 表 （ 友 情 提 示 ， 请 自 备 梯 子 ） 。 谷 歌 在 浏 览 器 安 全 方 面 总 是 走 在 前 面 ， 因 此 它 维 护 了 一 个 预 载 入 列 表 给   C h r o m e   使 用 ， 这 个 列 表 会 硬 编 码 到   C h r o m e   浏 览 器 中 。 后 来 ， F i r e f o x 、 S a f a r i 、   I E   1 1   和   E d g e   一 想 ， 得 了 ， 咱 也 别 自 己 弄 一 个 了 ， 都 采 用 这 个 列 表 吧 。 所 以 ， 各 大 浏 览 器 都 支 持 同 一 个 列 表 了 。 如 果 要 想 把 自 己 的 域 名 加 进 这 个 列 表 ， 需 要 满 足 以 下 条 件 ： 有 效 的 证 书 （ 如 果 使 用   S H A - 1   证 书 ， 必 须 是   2 0 1 6   年 前 就 会 过 期 的 ） ； 将 所 有   H T T P   流 量 重 定 向 到   H T T P S ； 确 保 所 有 子 域 名 都 启 用 了   H T T P S ， 特 别 是   w w w   子 域 ； 输 出   H S T S   响 应 头 ： m a x - a g e   至 少 需 要   1 8   周 （ 1 0 8 8 6 4 0 0   秒 ） ， 其 实 在   s s l l a b s   的 测 试 里 面 建 议 更 长 一 些 ； 必 须 指 定   i n c l u d e S u b d o m a i n s   参 数 ； 必 须 指 定   p r e l o a d   参 数 ； H S T S   响 应 头 范 例 ： 注 意 ， 提 交 的 申 请 并 不 是 自 动 处 理 的 ， 人 工 处 理 也 许 需 要 一 周 到 几 周 ， 你 可 以 在 这 个 表 单 提 交 查 询 看 看 是 否 列 入 了 。 或 者 在 你 的   C h r o m e   浏 览 器 中 访 问   c h r o m e : / / n e t - i n t e r n a l s / # h s t s   查 询 是 否 列 入 。 一 般 来 说 ， 即 便 你 已 经 列 入 到 这 个 列 表 ， 但 是 依 旧 需 要 几 个 月 才 能 逐 渐 从   C h r o m e   的 c a n a r y   更 新 通 道 更 新 到   d e v   、 b e t a   等 通 道 ， 直 到 最 后 的   s t a b l e   通 道 。 郑 重 警 示 ： 如 果 你 并 不 能 确 定 你 的 网 站 从 此 以 后 一 直 使 用 郑 重 警 示 ： 如 果 你 并 不 能 确 定 你 的 网 站 从 此 以 后 一 直 使 用   H T T P S ， 那 还 是 不 要 加 入 的 好 。 因 为 ， 加 入 后 很 难 撤 销 ， 你 可 以 要 求 撤 ， 那 还 是 不 要 加 入 的 好 。 因 为 ， 加 入 后 很 难 撤 销 ， 你 可 以 要 求 撤 销 ， 但 是 这 个 数 据 重 新 更 新 到 稳 定 版 的 销 ， 但 是 这 个 数 据 重 新 更 新 到 稳 定 版 的   C h r o m e   同 样 需 要 几 个 月 ， 而 别 的 浏 览 器 是 如 何 处 理 这 个 撤 销 数 据 的 ， 则 无 法 保 证 。 同 样 需 要 几 个 月 ， 而 别 的 浏 览 器 是 如 何 处 理 这 个 撤 销 数 据 的 ， 则 无 法 保 证 。 换 句 话 说 ， 只 有   H T T P S   骨 灰 粉 才 应 该 考 虑 加 入 。 我 们 就 是   H T T P S   骨 灰 粉 ！ 任 性 的 站 长 当 然 是   H T T P S   骨 灰 粉 了 ， 虽 然 “ 一 入 宫 门 深 似 海 ” ， 将 来   H T T P S   会 不 会 和   L 2 T P 、 P P T P   一 样 被 限 制 也 未 可 知 ， 但 是 这 么 有   B I G 的 事 情 怎 么 可 以 不 做 呢 ？ 上 个 月 1 5 号 ， 我 修 改 了 符 合 申 请 条 件 的   H T S T   响 应 头 ， 然 后 提 交 了 申 请 。 今 天 晚 上 突 然 心 血 来 潮 ， 想 着 看 看 是 否 批 准 下 来 了 ： 1 .   S t r i c t - T r a n s p o r t - S e c u r i t y :   m a x - a g e = 1 0 8 8 6 4 0 0 ;   i n c l u d e S u b D o m a i n s ;   p r e l o a d
l i n u x . c n   列 入   H S T S   预 载 入 列 表 了 哈 哈 ， 通 过 了 ！ 然 后 马 上 去   C h r o m e   里 面 查 询 — — 没 有 … … 好 吧 ， 我 用 的 是 稳 定 版 的   C h r o m e 。 去 下 载   c a n a r y   通 道 的   C h r o m e   看 看 。 安 装 后 马 上 查 询 一 下 ： 列 入 了 静 态   S T S   域 名 了 果 然 列 入 了   c a n a r y   通 道 的   C h r o m e   里 面 ！ 第 一 次 在 这 个 新 开 封 的 浏 览 器 里 面 访 问   l i n u x . c n ， 马 上 就 变 成 绿 色 的   h t t p s : / / l i n u x . c n   ！
原 创 ： L i n u x 中 国   参 考 原 文 ： h t t p s : / / l i n u x . c n / a r t i c l e - 6 7 5 4 - 1 . h t m l 作 者 ：   w x y 绿 色 的   H T T P S   图 标 去 查 询 一 下   C h r o m e   的 代 码 看 看 ： 列 入 了   t r a n s p o r t _ s e c u r i t y _ s t a t e _ s t a t i c . j s o n 从 现 在 的 数 据 看 ， 列 表 中 总 共 才   4 6 3 0   个 域 名 ， 其 中   . c n   的 才   8   个 。 怎 么 样 ， 你 要 不 要 也 加 入 进 来 ？
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理