上一篇
HTTP严格传输安全协议工作原理是什么？HSTS协议如何配置
HTTP严格传输安全（HSTS, HTTP Strict Transport Security）是一种Web安全策略机制，旨在防止协议降级攻破和Cookie截持，它允许Web服务器声明其HTTPS连接是受保护的，并要求用户代理（如浏览器）在后续访问中仅通过HTTPS进行通信，从而消除中间人攻破（MITM）的风险。
核心工作原理
HSTS的工作流程主要依赖于HTTP响应头中的Strict-Transport-Security字段，当浏览器首次通过HTTPS访问支持HSTS的网站时，服务器会在响应头中携带该指令，浏览器接收到此指令后，会将其存储在本地数据库中，并在指定的时间内（由max-age参数决定）强制对该域名使用HTTPS连接。
具体执行步骤如下：
- 初始HTTPS访问：用户通过https://example.com访问网站。
- 服务器响应：服务器在HTTP响应头中添加Strict-Transport-Security: max-age=31536000; includeSubDomains。
- 浏览器缓存：浏览器解析该头信息，记录example.com及其子域名需要在未来31536000秒（1年）内仅通过HTTPS访问。
- 后续HTTP请求拦截：如果用户随后输入http://example.com或点击了HTTP链接，浏览器会在本地直接将其转换为https://example.com，而不会向服务器发送任何HTTP请求。
- 过期处理：当max-age时间过后，浏览器不再强制使用HTTPS，直到再次接收到有效的HSTS头。
关键参数解析
Strict-Transport-Security头包含多个可选参数，用于精细控制HSTS的行为，以下是主要参数的详细说明：
| 参数名称 | 说明 | 示例值 |
|---|---|---|
| max-age | 必需参数，指定浏览器应遵守HSTS策略的时间长度，单位为秒。 | max-age=31536000 (1年) |
| includeSubDomains | 可选参数，指示HSTS策略适用于当前域名及其所有子域名。 | includeSubDomains |
| preload | 可选参数，允许网站申请加入浏览器的HSTS预加载列表，实现“零次点击”保护。 | preload |
协议降级攻破的防御机制
在没有HSTS的情况下,攻破者可以通过“SSL剥离”（SSL Stripping）技术拦截用户的HTTP请求，并将其重定向到HTTP页面，从而窃取敏感信息或载入恶意代码，HSTS通过以下方式有效防御此类攻破：
- 强制加密：一旦浏览器缓存了HSTS策略，任何对HTTP协议的尝试都会被浏览器在本地拦截并转换为HTTPS，攻破者无法在传输层进行降级操作。
- 消除首次访问风险：虽然HSTS不能保护用户的第一次访问（因为此时浏览器尚未缓存策略），但通过结合HSTS预加载列表（HSTS Preload List），可以将主流网站的HSTS策略硬编码在浏览器中，从而彻底消除首次访问的风险。
HSTS预加载机制
为了克服HSTS依赖首次HTTPS访问才能生效的局限性,浏览器厂商维护了一个HSTS预加载列表，网站管理员可以将自己的域名提交到该列表中，经过审核后，浏览器将在出厂或更新时内置该域名的HSTS策略，这意味着即使用户从未访问过该网站，只要输入域名，浏览器也会自动使用HTTPS连接。
申请预加载需要满足以下条件：
- 网站必须配置有效的HTTPS证书。
- 所有HTTP流量必须重定向到HTTPS。
- 必须返回包含includeSubDomains和preload参数的Strict-Transport-Security头。
- 网站必须在所有子域名上启用HTTPS。
实施建议与注意事项
在实施HSTS时,需注意以下几点以确保安全性和可用性：
- 设置合理的max-age：初期测试时可设置较短的时间（如300秒），确认无误后再逐步增加至31536000秒或更长。
- 监控HTTPS覆盖率：在启用HSTS前，确保网站所有资源（包括图片、脚本、样式表等）均通过HTTPS加载，否则会导致混合内容警告，影响用户体验。
- 谨慎使用includeSubDomains：如果子域名中有任何一个未配置HTTPS，启用includeSubDomains会导致这些子域名无法访问。
- 避免过早启用预加载：在未充分测试的情况下申请预加载可能导致用户无法访问网站，因为一旦加入预加载列表，撤销策略非常困难。
相关问题与解答
问题1：如果我在启用HSTS后，发现某个子域名无法通过HTTPS访问，该怎么办？
解答：
如果启用了includeSubDomains参数，但某个子域名未配置HTTPS或证书无效，浏览器将拒绝连接该子域名，解决方法有两种：
- 修复子域名：为该子域名配置有效的HTTPS证书，并确保所有资源通过HTTPS加载。
- 移除includeSubDomains：如果某些子域名确实无法支持HTTPS，可以从HSTS头中移除includeSubDomains参数，但请注意，这将导致主域名的HSTS保护范围缩小，仅保护主域名本身，建议在移除前仔细评估安全风险。
问题2：HSTS能否防止DNS欺骗攻破？
解答：
HSTS本身不能直接防止DNS欺骗攻破，DNS欺骗是指攻破者改动DNS解析结果，将域名指向恶意IP地址，HSTS的作用是确保在浏览器与服务器建立连接时使用HTTPS加密，但它无法验证DNS解析结果的真实性。
HSTS与DNSSEC（域名系统安全扩展）结合使用时，可以提供更全面的保护，DNSSEC确保DNS响应未被改动，而HSTS确保通信内容加密且不可降级，HSTS预加载列表可以在一定程度上缓解DNS欺骗的影响，因为浏览器会直接尝试连接预加载列表中的域名，即使DNS被改动，浏览器也会尝试通过HTTPS连接，若证书不匹配则会被拦截，但最根本的解决方案仍是使用DNSSEC和HTTPS证书绑定（如CT日志监控）来增强整体安全性。
