本篇文章679字,读完约2分钟

2月17日,微软今天宣布在ie浏览器中支持超文本传输协议严格传输安全(HSTS),并将在未来的win10 Spartan浏览器中支持它。

Http严格传输安全,http强制传输用于确保终端用户只能在使用安全的https连接时才能连接到服务器。当浏览器向服务器发送请求时,每次收到标题时都会添加一个标志,这样HST就可以确保通过广泛使用的https协议对与网站的连接进行加密。由于所有后续连接都是加密的,HST可以保护用户免受降级攻击,也就是说,黑客将加密的连接转换回纯文本http。由于传输过程是加密的,因此可以防止中间人攻击,降低信息泄露的风险。

抵御中间人攻击:Win10斯巴达浏览器将支持HSTS

HST可以用来抵抗ssl剥离攻击。Ssl剥离攻击是一种中间人攻击,由莫邪·马林斯皮克于2009年发明。在那年黑帽会议上发表的题为“实践中保护SSL的新技巧”的演讲中,他公开了这次攻击。Ssl剥离是通过阻止浏览器创建与服务器的https连接来实现的。其前提是用户很少直接在地址栏中输入https://,用户总是通过点击链接或3xx重定向从http页面中输入https页面。因此,当用户访问http页面时,攻击者可以用http://替换https://开头的所有链接,从而阻止https。

抵御中间人攻击:Win10斯巴达浏览器将支持HSTS

Hsts可以在很大程度上解决ssl剥离攻击,因为只要浏览器一旦与服务器建立了安全连接,浏览器就会在此后强制使用https,即使链接被更改为http。

此外,如果中间人使用自己的自签名证书进行攻击,浏览器会给出警告,但许多用户会忽略该警告。Hsts解决了这个问题。一旦服务器发送hsts字段,用户将不再被允许忽略该警告。

来源:彭博新闻网

标题:抵御中间人攻击:Win10斯巴达浏览器将支持HSTS

地址:http://www.pks4.com/ptyxw/4362.html