apache - 如何正确设置 HPKP header (Public-Key-Pinning Header)？

Question

我对 header Public-Key-Pinning 感到非常困惑。如何在 Apache 中添加它？

我做了什么:
分别从我的域证书、中间证书和根证书中获取公钥哈希并将其添加到 apache，启用 mod_headers。但 ssllabs 说“没有链。检查备份引脚”

header 始终设置 Public-Key-Pins "pin-sha256=\"Root-SSL-Public-Key\"; pin-sha256=\"Intermediate-SSL-Public-Key\"; pin-sha256=\"Domain-SSL -Public-Key\"; max-age=2592000; includeSubDomains"

Answer 1

HPKP 是个坏主意。使用它来砖你的网站太容易了，鉴于此，它提供的保护相当小。
Almost all browsers have dropped support for HPKP因为这。
规范中包含的用于减轻网站破坏的内容之一是您 must have at least one pin that is NOT in your current cert and chain .也就是说，您必须有两个完全独立的引脚 - 一个来自备份 key /证书/CA，因此如果您失去对主要引脚的控制，您仍然可以连接。如果您只固定了您的证书、中间证书和根证书，那么它们都来自同一个链，因此不符合此要求。
修复它，它应该被 SSLLabs 接受。但老实说，考虑到浏览器支持和风险与返回情况，为什么还要费心呢？