搜索

[24819] 2016-03-27_仅有0.09%的HTTPS站点使用了HPKP证书钉

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-03-27_仅有0.09%的HTTPS站点使用了HPKP证书钉 仅 有   0 . 0 9 %   的   H T T P S   站 点 使 用 了   H P K P   证 书 钉 译 者 ： w x y   L i n u x 中 国   2 0 1 6 - 0 3 - 2 7 一 份 最 近 的 调 查 报 告 显 示 ， H T T P S   站 点 中 仅 有   0 . 0 9 %   的 站 点 （ 大 约   4 1 0 0   个 ） 使 用 了   H T T P   P u b l i c   K e y   P i n n i n g H T T P   公 钥 钉 （ H P K P ） 来 增 强 其 域 名 的   S S L / T L S   证 书 。 H P K P   是 一 个   H T T P   安 全 扩 展 ， 最 初 发 布 于   2 0 1 5   年   4   月 （ R F C   7 4 6 9 ） 。 该 标 准 定 义 了 一 种 避 免 浏 览 器 访 问 到 伪 造 证 书 的   H T T P S   网 站 方 法 。 在 浏 览 器 访 问   H T T P S   网 站 时 ， 网 站 可 以 锁 定 浏 览 器 所 应 接 受 的 该 网 站 的 公 钥 列 表 ； 只 有 浏 览 器 接 受 的 证 书 同 之 前 通 过   H P K P   头 所 申 明 的 一 致 时 才 能 访 问 该 网 站 。 为 防 止 攻 击 者 使 用 一 个 以 你 的 域 名 签 发 的 有 效 证 书 来 伪 造 你 的 网 站 时 ， 为 防 止 攻 击 者 使 用 一 个 以 你 的 域 名 签 发 的 有 效 证 书 来 伪 造 你 的 网 站 时 ， H P K P   很 有 很 有 用 用 这 种 机 制 可 以 用 于 防 护 攻 击 者 运 行 一 个 假 冒 网 站 并 使 用 有 效 证 书 来 欺 骗 浏 览 器 的 攻 击 行 为 。 攻 击 者 有 几 种 方 式 可 以 得 到 有 效 的 证 书 。 他 们 可 以 通 过 对   C A   的 社 会 工 程 攻 击 、 对 技 术 薄 弱 点 的 攻 击 、 C A   的 数 据 泄 露 、 利 用 脆 弱 的 证 书 签 发 策 略 等 来 得 到 。 另 外 ， 如 果 攻 击 者 本 身 得 到 了 浏 览 器 可 信 任 的   C A   的 授 权 ， 也 是 可 以 做 到 的 。 H P K P   就 是 用 来 解 决 这 种 问 题 的 。 H P K P   如 何 工 作 ？ 如 何 工 作 ？ 当 网 站 管 理 人 员 为 他 的 网 站 设 置   H P K P   头 时 ， 第 一 次 连 接 到 该 域 名 的 用 户 将 接 收 到 一 个 包 括 了 公 钥 指 纹 的 列 表 ， 以 后 对 该 网 站 的 访 问 必 定 使 用 这 些 公 钥 之 一 才 能 进 行 。
这 些 公 钥 存 储 在 用 户 的 浏 览 器 里 面 ， 当 用 户 再 次 访 问 该 网 站 时 ， 在 建 立   H T T P S   连 接 前 ， 浏 览 器 和 服 务 器 会 确 认 它 们 都 使 用 了 正 确 公 钥 和 服 务 器 证 书 。 如 果 不 是 ， 那 么 支 持   H P K P   的 浏 览 器 会 拒 绝 用 户 访 问 该 网 站 。 这 对 于 防 止 攻 击 者 通 过 假 冒 网 站 来 欺 骗 用 户 是 一 件 好 事 ， 但 是 如 果 合 法 的 网 站 配 置 错 误 的 话 ， 这 会 让 你 的 用 户 几 个 月 都 无 法 访 问 你 的 网 站 了 。 错 误 配 置 的 错 误 配 置 的   H P K P   会 让 你 的 用 户 无 法 访 问 你 的 网 站 会 让 你 的 用 户 无 法 访 问 你 的 网 站 做 这 个 调 查 的   n e t c r a f t   公 司 估 计 [ 1 ] 是 因 为 这 个 原 因 才 导 致 在 该 标 准 发 布 一 年 之 后 ， H P K P   的 使 用 率 仍 然 很 低 。 支 持   H P K P   除 了 需 要 不 断 的 维 护 工 作 ， 还 需 要 维 护 人 员 如 踩 钢 丝 般 的 细 心 ， 才 能 避 免 整 站 的 访 问 被 完 全 关 闭 掉 。 “ 即 使 是 网 站 管 理 员 们 设 置 好 了 有 效 策 略 ， 还 需 要 时 时 注 意 ： 日 常 的 维 护 和 紧 急 处 置 都 有 可 能 造 成 阻 挡 合 法 访 客 的 事 故 ， 而 且 会 持 续 阻 挡 很 长 时 间 。 ”   n e t c r a f t   的   P a u l   M u t t o n   解 释 说 。 这 就 是 为 什 么 只 有   4 1 0 0   个 网 站 的 管 理 员 们 决 定 使 用   H P K P   头 的 原 因 。 不 幸 的 是 ，   n e t c r a f t   说 ， 实 际 上 这 个 数 字 只 有   3 0 0 0   左 右 ， 因 为 大 约 有 1 / 4   的 网 站 的   H P K P   头 设 置 不 正 确 。 实 现 实 现   H P K P   并 不 太 复 杂 ， 只 是 需 要 很 细 心 并 不 太 复 杂 ， 只 是 需 要 很 细 心 积 极 的 一 面 是 ， 当 网 站 管 理 员 熟 悉 了 如 何 管 理 白 名 单 中 的 证 书 及 其 客 户 端 密 钥 ， H P K P   可 以 为 大 多 数 带 有 敏 感 数 据 的 网 站 提 供 了 必 要 的 安 全 措 施 。 一 些 著 名 的 服 务 已 经 实 施 了   H P K P   ， 比 如   G i H u b 、 M o z i l l a   和   P i x a b a y   等 。 尽 管 如 此 ， 像   L e n o v o   S u p e r f i s h [ 2 ]   和   D e l l   e D e l l R o o t [ 3 ]   这 样 的 丑 闻 中 ， 他 们 在 其 产 品 中 包 含 了 根 证 书 ， 可 以 让 攻 击 者 绕 开   H P K P 。 此 外 如 果 攻 击 者 可 以 访 问 用 户 的 浏 览 器 ， 也 能 修 改 浏 览 器 的 可 信 任 公 钥 列 表 来 取 消   H P K P   防 护 ， 或 者 禁 止 用 户 访 问 合 法 网 站 而 去 访 问 恶 意 伪 造 的 网 站 。   [ 1 ] :   h t t p : / / n e w s . n e t c r a f t . c o m / a r c h i v e s / 2 0 1 6 / 0 3 / 2 2 / s e c u r e - w e b s i t e s - s h u n - h t t p - p u b l i c - k e y - p i n n i n g . h t m l [ 2 ] :   h t t p : / / n e w s . s o f t p e d i a . c o m / n e w s / L e n o v o - P u s h e d - M i t M - C a p a b l e - B r o w s e r - A d d - O n - O n t o - I t s - P r o d u c t s - 4 7 3 6 3 1 . s h t m l [ 3 ] :   h t t p : / / n e w s . s o f t p e d i a . c o m / n e w s / d e l l - s h i p s - l a p t o p s - w i t h - r o o t - c e r t i f i c a t e - b i g - s e c u r i t y - n o - n o - 4 9 6 6 1 6 . s h t m l 推 荐 文 章 推 荐 文 章 I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 7 3 1 2 0 款 最 佳 的 代 码 审 查 工 具 8 5 0 L i n u x 桌 面 环 境 终 极 指 南
3 3 8 3 为 什 么 说   C h r o m e O S   胜 过   L i n u x 、 M a c   和   W i n d o w s ? 3 6 9 7 初 学 者   V i   备 忘 单 I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理