搜索

[24804] 2016-03-22_多达95%的HTTPS链接能被黑客劫持

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2016-03-22_多达95%的HTTPS链接能被黑客劫持 多 达   9 5 %   的   H T T P S   链 接 能 被 黑 客 劫 持 译 者 ： w x y   L i n u x 中 国   2 0 1 6 - 0 3 - 2 2 支 持   H S T S   比 你 想 象 的 更 容 易 。 由 于 服 务 器 管 理 员 没 能 正 确 设 置   H T T P   S t r i c t   T r a n s p o r t   S e c u r i t y   （ H S T S ） ， 现 今 大 量 的   H T T P S   流 量 都 能 被 轻 松 劫 持 。 H S T S   是 一 个 被 当 前 大 多 数   W e b   浏 览 器 所 支 持 的   W e b   安 全 策 略 ， 它 可 以 帮 助   W e b   管 理 员 保 护 他 们 的 服 务 器 和 用 户 避 免 遭 到   H T T P S   降 级 、 中 间 人 攻 击 和   C o o k i e   劫 持 等   H T T P S   攻 击 的 危 害 。 9 5 %   的 的   H T T P S   连 接 处 于 风 险 中 连 接 处 于 风 险 中 据 最 近 的   N e t c r a f t   s t u d y [ 1 ]   报 告 数 据 显 示 ， 当 前 多 达   9 5 %   的 服 务 器 所 运 行 的   H T T P S   没 有 正 确 地 设 置   H S T S   或 其 它 配 置 ， 以 至 于 将   H T T P S   连 接 暴 露 于 上 述 攻 击 风 险 之 中 。 更 值 得 注 意 的 是 ， N e t c r a f t   在 三 年 前 进 行 的 同 样 扫 描 ， 不 正 确 配 置 的   H S T S   比 例 仍 同 现 在 一 样 。 这 表 明   W e b   管 理 员 们 并 没 有 学 会 或 被 告 知 如 何 正 确 地 设 置   H S T S 。 针 对 这 些 不 安 全 的 站 点 的 最 容 易 的 攻 击 场 景 是   H T T P S   降 级 攻 击 ， 攻 击 者 可 以 选 择 多 种 方 式 来 迫 使 一 个 看 起 来 安 全 的   H T T P S   连 接 根 本 不 使 用 数 据 加 密 或 使 用 更 弱 的 算 法 ， 这 样 攻 击 者 就 可 以 进 行 数 据 窃 取 了 。 据 安 全 研 究 人 员 称 ， 在 这   9 5 %   的 没 有 正 确 设 置   H S T S   的 站 点 中 ， 有 很 多 银 行 和 金 融 机 构 的 网 站 。 你 可 以 通 过 下 面 一 行 配 置 激 活 你 的 你 可 以 通 过 下 面 一 行 配 置 激 活 你 的   H S T S
不 需 要 费 脑 筋 ， 你 只 需 要 将 下 述 的 一 行 配 置 添 加 到 你 的   H T T P S   服 务 器 配 置 中 即 可 实 现   H S T S 。 这 一 行 可 以 让 服 务 器 告 诉 浏 览 器 仅 通 过   H T T P S   连 接 来 访 问 其 内 容 ， 其 策 略 有 效 期 为 长 达 一 年 的 最 大 有 效 时 间 。 当 上 述 配 置 生 效 后 ， 即 便 用 户 在 他 的 浏 览 器 中 输 入   U R L   时 写 了   “ h t t p : / / ” 前 缀 ， 浏 览 器 仍 将 会 自 动 切 换 “ h t t p s : / / ” 。 更 多 关 于   H T T P S   及   H S T S   的 技 术 实 现 细 节 ， 请 参 阅 以 下 文 章 ： 跑 步 进 入 全 站   H T T P S   ， 这 些 经 验 值 得 你 看 看 增 强   n g i n x   的   S S L   安 全 性 如 何 配 置 使 用   H T T P   严 格 传 输 安 全 （ H S T S ） 作 为   H T T P S   的 骨 灰 粉 ， 怎 么 可 以 不 加 入   H S T S   预 载 入 列 表 大 型 网 站 的   H T T P S   实 践 （ 三 ） ： 基 于 协 议 和 配 置 的 优 化 S S L / T L S   加 密 新 纪 元   -   L e t ' s   E n c r y p t [ 1 ] :   h t t p : / / n e w s . n e t c r a f t . c o m / a r c h i v e s / 2 0 1 6 / 0 3 / 1 7 / 9 5 - o f - h t t p s - s e r v e r s - v u l n e r a b l e - t o - t r i v i a l - m i t m - a t t a c k s . h t m l 推 荐 文 章 推 荐 文 章 I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 1 0 9 L i n u x   产 能 工 具 及 其 使 用 技 巧 8 4 9 凭 啥 J a v a 的 运 行 环 境 称 虚 拟 机 ， P y t h o n 的 只 能 称 解 释 器 1 5 6 9 服 务 器 操 作 系 统 应 该 选 择   D e b i a n / U b u n t u   还 是   C e n t O S ？ 3 7 1 5 国 外 程 序 员 的 入 职 一 周 称 霸 指 南 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文 1 .   S t r i c t - T r a n s p o r t - S e c u r i t y :   m a x - a g e = 3 1 5 3 6 0 0 0 ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理