HSTS（HTTP 严格传输安全）

蔚落 2023-09-27 08:18 11阅读 0赞

了解为什么 HTTPS 不足以保护您的网站免受网络攻击以及 HSTS 标头如何解决问题。让我们开始！

### **什么是 HSTS？** ###

HTTP Strict Transport Security 是一种可选的浏览器安全功能，可防止浏览器与域建立任何未加密的连接。

通过未加密的连接，我的意思是使用`http`代替`https`（或`ws`代替`wss`WebSockets）。

`Strict-Transport-Security`您可以使用标题为您的网站启用保护，如下所示：

Strict-Transport-Security: <options>

有 3 个选项`max-age`，`includeSubdomains`和`preload`。我们将在一分钟内讨论这些内容，但首先，让我解释一下为什么在 Web 应用程序中实现 HSTS 如此重要。

### **为什么 HSTS 很重要？** ###

HSTS 标头可防止针对您的 Web 应用程序的网络攻击。如果您不使用它，以下是您的应用程序的工作方式：

#### 场景 1：没有 HSTS，没有攻击者 ####

1.  用户输入[www.example.com][]

![df5fdbc2feaf4322b6fc3ebcd98292fa.webp][]

1.  [用户的浏览器向http://www.example.com/][www.example.com]发送未加密的 HTTP 请求

![4ac7ab902e6c45509143186dfdefd01d.webp][]

1.  网络服务器返回一个重定向到[https://www.example.com][https_www.example.com]

![202a2b8b34684a84b9e4a32519a93103.webp][]

1.  [用户的浏览器向https://www.example.com/][https_www.example.com]发送加密的 HTTPS 请求。

![44955bd92f374ec09fbb2fb3e7ed1188.webp][]

1.  网络服务器返回登录页面。

![1d00f3a091d044c389d84012102717e6.webp][]

1.  用户输入他们的用户名和密码，浏览器通过安全的 TLS 连接将其安全地发送到网络服务器。

![6a9a97fcfe7a407f87994a96007e8d12.webp][]

但是如果网络上有攻击者怎么办？HTTPS 没有帮助。让我告诉你我的意思。

#### 场景 2：没有 HSTS，网络上有攻击者 ####

1.  用户输入[www.example.com][]

![a955f3e13dbe4710a097d1871553efa3.webp][]

1.  [用户的浏览器向http://www.example.com/][www.example.com]发送未加密的 HTTP 请求

![2d10cdb8dd6046d3875dc944cdc11a4e.webp][]

1.  攻击者截获这个未加密的请求并从真实服务器返回登录页面。至关重要的是，连接仍然是未加密的。

![27ace23de8824cb9a6ebeb531184fc81.webp][]

1.  用户通过未加密的连接将他们的用户名和密码直接提供给攻击者。

![3973525ecb804e68aaa387429291159e.webp][]

哎呀。这不好。

现在让我们看看当 HSTS 标头保护 Web 应用程序时会发生什么。

#### 场景 3：HSTS ####

1.  用户输入[www.example.com][]

![4b1081d0bb854ef4b57fe29d0bafd384.webp][]

1.  [该网站使用 HSTS，因此用户的浏览器会立即向https://www.example.com/][https_www.example.com]发送加密的 HTTPS 请求。攻击者没有机会。

![a4d8b4cc97f144a59463d84ef62ef4d9.webp][]

1.  网络服务器返回登录页面。

![d8601b8fc7a9415d9a6225965f6ed5ae.webp][]

1.  用户输入他们的用户名和密码，浏览器通过安全的 TLS 连接安全地发送。

![54a56ec914b540b09b6fde9fca7764f2.webp][]

看看 HSTS 如何阻止攻击？但现在你可能会问...

### **如果用户是第一次访问该网站怎么办？** ###

一个很好的问题！如果用户是第一次访问该网站，用户的浏览器还没有机会看到 HSTS 标头。

在这种情况下，攻击仍然是可能的，因为攻击者在实际的 Web 服务器有机会告诉用户的浏览器使用 HSTS 之前接管了连接。

幸运的是，有一个解决方案，我保证你会在本文结束时了解它的一切。它与第三个选项有关`preload`，但让我们先看看其他两个选项！

### **最大年龄参数** ###

HSTS 标头中的第一个参数是`max-age`. 它是您希望浏览器在看到标头后记住标头的时间（以秒为单位）。

例如，以下标头将为发送它的域启用 HSTS 一分钟。然后，浏览器会在 60 秒内拒绝与域建立任何未加密的连接。

Strict-Transport-Security: max-age=60

这么短的时间一般不是很有用。像这样看到一年或两年的值更为常见：

# 1 year
    Strict-Transport-Security: max-age=31536000

# 2 years
    Strict-Transport-Security: max-age=63072000

浏览器每次看到标题都会刷新时间。

> ☝️**注意**
> 
> 在生产环境中实施 HSTS 时，最好从小规模开始`max-age`，然后慢慢将其提升到一年或两年。这样，如果发生故障，您可以快速恢复。

#### 取消 HSTS ####

该`max-age`参数的第二个用例是取消 HSTS，如果您想摆脱它。通过返回`max-age`零，浏览器将在看到标题后删除保护。

# Cancel HSTS
    Strict-Transport-Security: max-age=0

### **includeSubdomains 参数** ###

第二个参数是`includeSubdomains`。默认情况下，HSTS 标头只会影响为其提供服务的域。也就是说，如果`https://www.example.com`发送它，那么只会`www.example.com`被保护，`foo.www.example.com`不会。

要包含子域，请`includeSubdomains`像这样添加：

# Store for 2 years, apply also to subdomains
    Strict-Transport-Security: max-age=6307200; includeSubdomains

> ☝️**注意**
> 
> 该`includeSubdomains`指令是预加载的要求，我们将在接下来查看。

### **HSTS 预加载** ###

第三个参数`preload`有助于 HSTS 预加载。

正如我之前提到的，预加载是一种机制，即使用户第一次访问该网站，您也可以使用该机制使用 HSTS 标头保护您的网站。

它可以让您告诉 Google 保护您的网站，他们会看到所有主要浏览器都会*更改其源代码*以为您的域预加载 HSTS 标头。

可不是闹着玩的！您可以在[此处][Link 1]查看 JSON 文件。如果你仔细看，你会发现 appsecmonkey 在那里！

{ "name": "appsecmonkey.com", "policy": "bulk-1-year", "mode": "force-https", "include_subdomains": true },

不过，为您的域启用预加载有几个先决条件。

首先，您必须使用`preload`指令提供 HSTS 标头。此外，`max-age`必须 >= 一年，并且您必须添加`includeSubdomains`.

# Store for two years, also apply to subdomains, enable preloading
    Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

此外，您的域必须在 HTTPS 端口 (443) 上返回有效的 TLS 证书，并在端口 80 上重定向到 HTTPS（如果启用了端口 80）。

当您满足这些要求时，请访问[HSTS Preload List Submission][]并提交您的域，如下所示：

![b012364cb01d40e4b6aa105b4c95334a.webp][]

### **结论** ###

HTTPS 不足以保护您的 Web 应用程序的用户免受网络攻击。只要互联网上有未加密的网站，浏览器供应商就不能仅仅完全禁用未加密的连接。

幸运的是，对于不想要任何未加密连接的网站，有一种选择加入机制。这就是 HSTS 标头。

在生产中实施 HSTS 时，最好从缓慢开始，`max-age`然后慢慢提高。

最后，可以（并且强烈推荐）将您的 HSTS 标头预加载到主要 Web 浏览器的源代码中，方法是将您的域提交到 hstspreload.org。但在你这样做之前要三思而后行；取消是一个缓慢而痛苦的过程。

[www.example.com]: http://www.example.com/
[df5fdbc2feaf4322b6fc3ebcd98292fa.webp]: https://img-blog.csdnimg.cn/df5fdbc2feaf4322b6fc3ebcd98292fa.webp
[4ac7ab902e6c45509143186dfdefd01d.webp]: https://img-blog.csdnimg.cn/4ac7ab902e6c45509143186dfdefd01d.webp
[https_www.example.com]: https://www.example.com/
[202a2b8b34684a84b9e4a32519a93103.webp]: https://img-blog.csdnimg.cn/202a2b8b34684a84b9e4a32519a93103.webp
[44955bd92f374ec09fbb2fb3e7ed1188.webp]: https://img-blog.csdnimg.cn/44955bd92f374ec09fbb2fb3e7ed1188.webp
[1d00f3a091d044c389d84012102717e6.webp]: https://img-blog.csdnimg.cn/1d00f3a091d044c389d84012102717e6.webp
[6a9a97fcfe7a407f87994a96007e8d12.webp]: https://img-blog.csdnimg.cn/6a9a97fcfe7a407f87994a96007e8d12.webp
[a955f3e13dbe4710a097d1871553efa3.webp]: https://img-blog.csdnimg.cn/a955f3e13dbe4710a097d1871553efa3.webp
[2d10cdb8dd6046d3875dc944cdc11a4e.webp]: https://img-blog.csdnimg.cn/2d10cdb8dd6046d3875dc944cdc11a4e.webp
[27ace23de8824cb9a6ebeb531184fc81.webp]: https://img-blog.csdnimg.cn/27ace23de8824cb9a6ebeb531184fc81.webp
[3973525ecb804e68aaa387429291159e.webp]: https://img-blog.csdnimg.cn/3973525ecb804e68aaa387429291159e.webp
[4b1081d0bb854ef4b57fe29d0bafd384.webp]: https://img-blog.csdnimg.cn/4b1081d0bb854ef4b57fe29d0bafd384.webp
[a4d8b4cc97f144a59463d84ef62ef4d9.webp]: https://img-blog.csdnimg.cn/a4d8b4cc97f144a59463d84ef62ef4d9.webp
[d8601b8fc7a9415d9a6225965f6ed5ae.webp]: https://img-blog.csdnimg.cn/d8601b8fc7a9415d9a6225965f6ed5ae.webp
[54a56ec914b540b09b6fde9fca7764f2.webp]: https://img-blog.csdnimg.cn/54a56ec914b540b09b6fde9fca7764f2.webp
[Link 1]: https://raw.githubusercontent.com/chromium/chromium/master/net/http/transport_security_state_static.json
[HSTS Preload List Submission]: https://hstspreload.org/
[b012364cb01d40e4b6aa105b4c95334a.webp]: https://img-blog.csdnimg.cn/b012364cb01d40e4b6aa105b4c95334a.webp