HTTP严格传输安全あんぜん

HTTP严格传输安全あんぜん（英語えいご：HTTP Strict Transport Security，縮寫しゅくしゃ：HSTS）是ぜ一いち套由互联网工程ほど任にん务组发布的てき互联网安全あんぜん策略さくりゃく机つくえ制せい。网站可か以选择使用しようHSTS策略さくりゃく，来らい让浏览器き强制きょうせい使用しようHTTPS与あずか网站进行通信つうしん，以减少すくな会かい话劫持じ风险。

其徵求ちょうきゅう修正しゅうせい意見いけん書しょ文ぶん件けん编号是ぜRFC 6797，发布于2012年ねん11月。

内容ないよう

HSTS的てき作用さよう是ぜ强制きょうせい客きゃく户端（如浏览器）使用しようHTTPS与あずか服ふく务器建立こんりゅう连接。服ふく务器开启HSTS的てき方法ほうほう是ぜ，当とう客きゃく户端通どおり过HTTPS发出请求时，在ざい服ふく务器返かえし回かい的てき超文ちょうぶん本ほん传输协议（HTTP）响应头中包含ほうがんStrict-Transport-Security字じ段だん。非ひ加か密みつ传输时设置おけ的てきHSTS字じ段だん无效。

比ひ如，https://example.com/ 的てき响应头含有がんゆうStrict-Transport-Security: max-age=31536000; includeSubDomains。这意味いみ着ぎ两点：

1. 在ざい接せっ下か来らい的てき31536000秒びょう（即そく一いち年ねん）中ちゅう，浏览器き向こうexample.com或ある其子域いき名めい发送HTTP请求时，必须采さい用ようHTTPS来らい发起连接。比ひ如，用よう户点击超ちょう链接或ある在地ざいち址し栏输入にゅう http://www.example.com/ ，浏览器き应当自じ动将 http 转写成なる https，然しか后きさき直接ちょくせつ向こう https://www.example.com/ 发送请求。
2. 在ざい接せっ下か来らい的てき一いち年ねん中ちゅう，如果 example.com 服ふく务器发送的てきTLS证书无效，用よう户不能ふのう忽ゆるがせ略りゃく浏览器き警告けいこく继续访问网站。

历史

HSTS的てき雏形来き自じ于2008年ねん4月がつ在ざい北京ぺきん召开的てき第だい十じゅう七なな届とどけ国くに际万まん维网大会たいかい上うえ柯林·杰克逊（Collin Jackson）和かず亚当·巴ともえ斯（Adam Barth）的てき题为“ForceHTTPS: Protecting High-Security Web Sites from Network Attacks”的てき演えんじ讲。他た们的提ひさげ议是使用しよう“ForceHTTPS” Cookie来らい强制きょうせい浏览器き使用しようHTTPS。

2009年ねん9月がつ18日にち，他た们和杰夫·霍奇斯（Jeff Hodges）发布了りょう最初さいしょ的てき草案そうあん，题目为"Strict Transport Security"，这个草案そうあん基もと于ForceHTTPS，并有所しょ修おさむ改あらため。

2010年ねん6月がつ17日にち，这三さん位い作者さくしゃ经由互联网工程ほど任にん务组发布了りょう首くび版ばん互联网草案あん，"HTTP Strict Transport Security"。

2012年ねん10月がつ2日にち，互联网工程ほど指ゆび导组批准ひじゅん了りょう将はた第だい14版はんHSTS草案そうあん发布为RFC的てき请求。

2012年ねん11月19日にち，互联网工程ほど任にん务组发布RFC 6797。

作用さよう

HSTS可か以用来らい抵御SSL剥へず离攻击。SSL剥へず离攻击是中ちゅう间人攻おさむ击的てき一いち种，由ゆかりMoxie Marlinspike于2009年ねん发明。他た在ざい当年とうねん的てき黑くろ帽ぼう大会たいかい上じょう发表的てき题为“New Tricks For Defeating SSL In Practice”的てき演えんじ讲中将ちゅうじょう这种攻おさむ击方式しき公おおやけ开。SSL剥へず离的实施方法ほうほう是ぜ阻止そし浏览器き与あずか服ふく务器建立こんりゅうHTTPS连接。它的前提ぜんてい是ぜ用よう户很少しょう直接ちょくせつ在地ざいち址し栏输入いれhttps://，用よう户总是ぜ通どおり过点击链接せっ或ある3xx重定しげさだ向むかい，从HTTP页面进入HTTPS页面。所以ゆえん攻おさむ击者可か以在用よう户访问HTTP页面时替换所有しょゆうhttps://开头的てき链接为http://，达到阻止そしHTTPS的てき目的もくてき。

HSTS可か以很大だい程度ていど上じょう解かい决SSL剥へず离攻击，因いん为只要よう浏览器き曾经与服ふく务器建立こんりゅう过一いち次じ安全あんぜん连接，之これ后きさき浏览器き会かい强制きょうせい使用しようHTTPS，即そく使つかい链接被ひ换成了りょうHTTP。

另外，如果中ちゅう间人使用しよう自己じこ的てき自じ签名证书来らい进行攻おさむ击，浏览器き会かい给出警告けいこく，但ただし是ぜ许多用よう户会忽ゆるがせ略りゃく警告けいこく。HSTS解かい决了这一问题，一旦服务器发送了HSTS字じ段だん，将はた不ふ再さい允まこと许用户忽略りゃく警告けいこく。

不足ふそく

用よう户首次じ访问某ぼう网站是ぜ不ふ受HSTS保ほ护的。这是因いん为首次じ访问时，浏览器き还未收みしゅう到いたHSTS，所以ゆえん仍有可能かのう通どおり过明文ぶんHTTP来らい访问。解かい决这个不足ふそく目前もくぜん有ゆう两种方案ほうあん，一是浏览器预置HSTS域いき名めい列れつ表ひょう，Google Chrome、Firefox、Internet Explorer和わMicrosoft Edge实现了りょう这一方案ほうあん。二に是ぜ将はたHSTS信しん息いき加入かにゅう到いた域いき名めい系けい统记录中ちゅう。但ただし这需要よう保ほ证DNS的てき安全あんぜん性せい，也就是ぜ需要じゅよう部署ぶしょ域いき名めい系けい统安全ぜん扩展。截至2016年ねん这一方案没有大规模部署。

由よし于HSTS会かい在ざい一定いってい时间后きさき失效しっこう（有效ゆうこう期き由ゆかりmax-age指定してい），所以ゆえん浏览器き是ぜ否ひ强制きょうせいHSTS策さく略取りゃくしゅ决于当とう前まえ系けい统时间。部分ぶぶん操作そうさ系けい统经常つね通どおり过网络时间协议更新こうしん系けい统时间，如Ubuntu每次まいじ连接网络时、OS X Lion每まい隔へだた9分ふん钟会自じ动连接せっ时间服ふく务器。攻おさむ击者可か以通过伪造づくりNTP信しん息いき，设置错误时间来らい绕过HSTS。解かい决方法ほう是ぜ认证NTP信しん息いき，或ある者もの禁止きんしNTP大幅おおはば度ど增ぞう减时间。比ひ如Windows 8每まい7天てん更新こうしん一いち次じ时间，并且要求ようきゅう每次まいじNTP设置的てき时间与あずか当とう前ぜん时间不ふ得とく超ちょう过15小しょう时。

浏览器き支持しじ

• Chromium和わGoogle Chrome从4.0.211.0版本はんぽん开始支持しじHSTS
• Firefox 4及以上じょう版本はんぽん
• Opera 12及以上じょう版本はんぽん
• Safari从OS X Mavericks起おこり
• Internet Explorer和わMicrosoft Edge从Windows 10开始支持しじ

网站支持しじ

根ね据すえSSL Pulse的てき调查，截至2015年ねん2月がつ，仅有2.7%的てき网站开启了りょうHSTS，至いたり2023年ねん11月的てき統計とうけい，有ゆう34.2%的てき网站开启HSTS。

目前もくぜん支持しじHSTS的てき主流しゅりゅう网站有ゆう：支ささえ付づけ宝たから、PayPal、Twitter、维基百科ひゃっか等ひとし。

参まいり见

• 超文ちょうぶん本ほん传输安全あんぜん协议
• 传输层安全ぜん协议
• 中ちゅう间人攻おさむ击
• HTTP公おおやけ钥固定こてい

外部がいぶ链接

• （英文えいぶん）RFC 6797, HTTP Strict Transport Security (HSTS)（页面存そん档备份，存そん于互联网档案あん馆）
• （英文えいぶん）IETF WebSec Working Group（页面存そん档备份，存そん于互联网档案あん馆）（互联网工程ほど任にん务组中なか的てきWebSec工作こうさく小しょう组主页）
• （英文えいぶん）Security Now 262: Strict Transport Security（页面存そん档备份，存そん于互联网档案あん馆）（HSTS视频讲解）
• （英文えいぶん）Open Web Application Security Project (OWASP): HSTS description（OWASP上うえ的てきHSTS条目じょうもく）
• （英文えいぶん）Online browser HSTS and Public Key Pinning test（页面存そん档备份，存そん于互联网档案あん馆）（浏览器き支持しじ测试）
• （英文えいぶん）HSTS Preload Submission（页面存そん档备份，存そん于互联网档案あん馆）（提ひさげ交网站至主流しゅりゅう浏览器き的てきHSTS预置列れつ表ひょう）
• （中ちゅう文ぶん）Linux 開ひらき啟けい HSTS 安全あんぜん機き制せい （页面存そん档备份，存そん于互联网档案あん馆）