Loading AI tools
HTTP嚴格傳輸安全（英語：HTTP Strict Transport Security，縮寫：HSTS）是一套由網際網路工程任務組發布的網際網路安全策略機制。網站可以選擇使用HSTS策略，來讓瀏覽器強制使用HTTPS與網站進行通訊，以減少連線劫持風險。[1][2]
HSTS的作用是強制客戶端（如瀏覽器）使用HTTPS與伺服器建立連接。伺服器開啟HSTS的方法是，當客戶端通過HTTPS發出請求時，在伺服器返回的超文字傳輸協定（HTTP）回應頭中包含Strict-Transport-Security欄位。非加密傳輸時設定的HSTS欄位無效。[3]
比如，https://example.com/ 的回應頭含有Strict-Transport-Security: max-age=31536000; includeSubDomains。這意味著兩點：
HSTS的雛形來自於2008年4月在北京召開的第十七屆國際全球資訊網大會上柯林·傑克遜（Collin Jackson）和亞當·巴斯（Adam Barth）的題為「ForceHTTPS: Protecting High-Security Web Sites from Network Attacks」的演講。他們的提議是使用「ForceHTTPS」 Cookie來強制瀏覽器使用HTTPS[4]。
2009年9月18日，他們和傑夫·霍奇斯（Jeff Hodges）發布了最初的草案，題目為"Strict Transport Security"[5]，這個草案基於ForceHTTPS，並有所修改[4]。
2010年6月17日，這三位作者經由網際網路工程任務組發布了首版網際網路草案，"HTTP Strict Transport Security"[6]。
2012年10月2日，網際網路工程指導組批准了將第14版HSTS草案發布為RFC的請求[7]。
2012年11月19日，網際網路工程任務組發布RFC 6797[8]。
HSTS可以用來抵禦SSL剝離攻擊。SSL剝離攻擊是中間人攻擊的一種，由Moxie Marlinspike於2009年發明。他在當年的黑帽大會上發表的題為「New Tricks For Defeating SSL In Practice」的演講中將這種攻擊方式公開。SSL剝離的實施方法是阻止瀏覽器與伺服器建立HTTPS連接。它的前提是使用者很少直接在網址列輸入https://，使用者總是通過點擊連結或3xx重新導向，從HTTP頁面進入HTTPS頁面。所以攻擊者可以在使用者訪問HTTP頁面時替換所有https://開頭的連結為http://，達到阻止HTTPS的目的。[9]
HSTS可以很大程度上解決SSL剝離攻擊，因為只要瀏覽器曾經與伺服器建立過一次安全連接，之後瀏覽器會強制使用HTTPS，即使連結被換成了HTTP[3][10]。
另外，如果中間人使用自己的自簽章憑證來進行攻擊，瀏覽器會給出警告，但是許多使用者會忽略警告。HSTS解決了這一問題，一旦伺服器傳送了HSTS欄位，將不再允許使用者忽略警告。
使用者首次訪問某網站是不受HSTS保護的。這是因為首次訪問時，瀏覽器還未收到HSTS，所以仍有可能通過明文HTTP來訪問。解決這個不足目前有兩種方案，一是瀏覽器偏好設定HSTS域名列表，Google Chrome、Firefox、Internet Explorer和Microsoft Edge實現了這一方案[11][12]。二是將HSTS資訊加入到域名系統記錄中。但這需要保證DNS的安全性，也就是需要部署域名系統安全擴充。截至2016年這一方案沒有大規模部署。
由於HSTS會在一定時間後失效（有效期由max-age指定），所以瀏覽器是否強制HSTS策略取決於當前系統時間。部分作業系統經常通過網路時間協定更新系統時間，如Ubuntu每次連接網路時、OS X Lion每隔9分鐘會自動連接時間伺服器。攻擊者可以通過偽造NTP資訊，設定錯誤時間來繞過HSTS。解決方法是認證NTP資訊，或者禁止NTP大幅度增減時間。比如Windows 8每7天更新一次時間，並且要求每次NTP設定的時間與當前時間不得超過15小時。[13]
- Chromium和Google Chrome從4.0.211.0版本開始支援HSTS
- Firefox 4及以上版本[14]
- Opera 12及以上版本[15]
- Safari從OS X Mavericks起
- Internet Explorer和Microsoft Edge從Windows 10開始支援[16]
根據SSL Pulse的調查，截至2015年2月，僅有2.7%的網站開啟了HSTS[17]，至2023年11月的統計，有34.2%的網站開啟HSTS。
Wikiwand in your browser!
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.
