https - HSTS 与仅使用安全 cookie 的 https

Question

如果我的站点使用安全 session cookie 在 https 上提供服务并将任何对 http url 的尝试重定向到 https，它是否足够好？

如果不设置 HSTS header ，我将无法在此设置中暴露出什么样的安全漏洞？

Answer 1

此策略通过使攻击者难以诱骗您的用户使用 SSL 以外的其他方式访问您的站点来防止被动窃听。它还可能确保用户存储的任何书签都将指向 https URL，这很好。然而，HSTS 在发生中间人攻击时仍然具有优势。

HSTS 试图解决的问题的核心是浏览器不知道给定站点是否应该使用 SSL。而且大多数用户不会首先明确尝试 SSL；如果他们输入 URL，他们通常会先访问非 SSL http 站点，而且通常他们只是点击链接。如果攻击者可以通过 http URL 诱使您的用户访问您的站点，并且可以位于用户流量的中间(例如，作为他们的无线 AP)，则该攻击者可以发起中间人攻击通过代理用户访问您网站的流量并在没有 SSL 的情况下向用户展示该网站(这是一种降级攻击)来针对您的网站。由于用户看不到 SSL，因此他们的浏览器不会识别出攻击者没有您站点的有效证书并且他们没有直接连接到您的站点。 (更复杂的方法是拦截 SSL 流量并为您的站点提供自签名证书或其他无效证书，但这通常会导致浏览器警告。)

在这种情况下，将非 SSL 用户重定向到 SSL 或在 cookie 上设置安全标志实际上并没有多大帮助。中间人攻击者将连接到您的 SSL 站点(并代理用户对它的操作)，并且在将它们传递给用户时只会从您的 cookie 中删除安全标志。

当然，攻击者也可以删除 HSTS header 。然而，HSTS 协议(protocol)的要点是，如果用户过去曾成功直接访问过您的网站，他们的浏览器将记住您的网站发送了 HSTS。如果他们稍后连接到您的网站并发现它没有使用 SSL 或浏览器无法验证证书，浏览器将抛出错误并拒绝继续。如果浏览器支持 HSTS 并将您的站点记录为需要 SSL，这将防止攻击者将您的站点降级为非 SSL。

维基百科有一个 fairly good discussion of this ，我认为这比 the RFC 中的讨论要清楚一些。 .