建站
咨詢
售后
建站咨詢
新聞中心
根據(jù)互聯(lián)網(wǎng)系列標(biāo)準(zhǔn)(RFC)收錄的第6797號(hào)文件描述，HTTP強(qiáng)制安全傳輸協(xié)議(HSTS)指的是一種可以將用戶從不安全HTTP版本網(wǎng)站重定向到安全HTTPS版本網(wǎng)站的機(jī)制,。比如用戶在瀏覽器中訪問http://www.google.com，瀏覽器就可以將網(wǎng)站重定向到https://www.google.com。
10年積累的成都網(wǎng)站制作、做網(wǎng)站、外貿(mào)營(yíng)銷網(wǎng)站建設(shè)經(jīng)驗(yàn)，可以快速應(yīng)對(duì)客戶對(duì)網(wǎng)站的新想法和需求。提供各種問題對(duì)應(yīng)的解決方案。讓選擇我們的客戶得到更好、更有力的網(wǎng)絡(luò)服務(wù)。我雖然不認(rèn)識(shí)你，你也不認(rèn)識(shí)我。但先網(wǎng)站制作后付款的網(wǎng)站建設(shè)流程，更有清澗免費(fèi)網(wǎng)站建設(shè)讓你可以放心的選擇與我們合作。
問題是，有人認(rèn)為如果瀏覽器在用戶每次訪問HTTPS網(wǎng)站的時(shí)候都必須做一次重定向，是一件很麻煩的事情。所以HSTS的作者創(chuàng)造了一種機(jī)制，讓瀏覽器記住用戶已訪問網(wǎng)站的HSTS策略。
安全研究人員山姆·格林哈爾希(Sam Greenhalgh)發(fā)現(xiàn)，這種具有安全特性的HTTPS網(wǎng)絡(luò)協(xié)議，可以在一些瀏覽器中變得具有跟蹤特性，并且無(wú)法根除。
這就是山姆·格林哈爾希識(shí)別出來的超級(jí)COOKIE。他的觀點(diǎn)是，HSTS探針的存在是為每個(gè)用戶訪問的HTTPS網(wǎng)站進(jìn)行重定向的，它對(duì)于用戶和網(wǎng)站都是獨(dú)一無(wú)二的，并且可以由任何網(wǎng)站從瀏覽器設(shè)置中進(jìn)行讀取。
一旦數(shù)字被存儲(chǔ)下來，那它就可以在未來被其他網(wǎng)站讀取。讀取該數(shù)字只需要測(cè)試相同站點(diǎn)地址發(fā)送的請(qǐng)求是否得到重定向。“私密瀏覽模式”或“隱身瀏覽模式”都無(wú)濟(jì)于事。
格林哈爾希指出，一些瀏覽器允許HSTS標(biāo)志被清除，所以在一定程度上，Chrome、Firefox和Opera的問題就可以得到一定程度的減輕(當(dāng)然IE壓根就不支持HSTS)。
然而，Safari瀏覽器就完蛋了。當(dāng)在蘋果設(shè)備上使用Safari，要通過用戶來清除HSTS標(biāo)志根本沒門。不僅無(wú)法清除，HSTS標(biāo)志甚至還被iCloud服務(wù)同步到云端，就算蘋果設(shè)備上的數(shù)據(jù)被清除，也可以通過iCloud進(jìn)行恢復(fù)。蘋果這時(shí)候反而體現(xiàn)出了它高效的跟蹤特性，讓人根本沒辦法刪除。
格林哈爾希還指出，早在2012年米哈伊爾·大衛(wèi)多夫(Mikhail Davidov)就曾描述過，稱其對(duì)于惡意站點(diǎn)擁有者來說要利用這個(gè)漏洞“幾乎信手拈來”。
谷歌也曾告訴格林哈爾希，在Web工作原理如果沒有根本性轉(zhuǎn)變的情況下，要打敗所謂的指紋識(shí)別是不切實(shí)際的。而IE完全不支持HSTS也讓人匪夷所思。當(dāng)然，這或許只是谷歌自己的看法。畢竟谷歌是HSTS的投資人之一，況且亞當(dāng)·巴斯(Adam Barth，谷歌軟件工程師)還是6797號(hào)文件三位寫作者中的作者之一。
名稱欄目：HTTPS可被設(shè)置成超級(jí)跟蹤器且無(wú)法根除
本文網(wǎng)址：http://www.dlmjj.cn/article/cogjpie.html
