HTTP Strict Transport Security (HSTS) 如何增强 HTTPS 安全性？如何绕过其强制 HTTPS 的策略？ - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位听众，早上好/下午好/晚上好！今天咱们来聊聊一个听起来高大上，但其实挺接地气的安全机制：HTTP Strict Transport Security，简称HSTS。简单来说，HSTS就是HTTPS的小助手，专门负责把HTTP“踢”走，强制浏览器用HTTPS访问你的网站。

HSTS：HTTPS的贴身保镖

想象一下，你辛辛苦苦给网站配置了HTTPS，买了证书，配置了TLS，一切都那么美好。但问题来了，用户访问你的网站可能一开始输入的是http://example.com，而不是https://example.com。浏览器一看，哎，没要求加密，那就HTTP伺候着呗。然后服务器再一跳转，HTTP 301 Moved Permanently，把用户重定向到HTTPS。

这中间有个问题：在第一次HTTP请求到重定向到HTTPS的这段时间里，用户的数据是明文传输的！这就给中间人攻击留下了可乘之机。攻击者可以在用户发起HTTP请求到服务器返回重定向这段时间里，截获请求，然后伪造一个假的HTTPS网站，把用户骗过去。

HSTS就是来解决这个问题的。它的作用是告诉浏览器：“哥们儿，以后访问我这个网站，别走HTTP，直接HTTPS伺候着！记住，是以后！以后！以后！” 重要的事情说三遍。

HSTS的工作原理

HSTS是通过HTTP响应头来实现的。当你的服务器返回一个包含Strict-Transport-Security头的响应时，浏览器就会记住你的网站支持HSTS。以后用户再访问你的网站，浏览器会直接将HTTP请求升级为HTTPS请求，连服务器都不用问。

这个响应头长这样：

Strict-Transport-Security: max-age=<seconds>; includeSubDomains; preload

咱们来拆解一下：

max-age=<seconds>: 这个是必须的。它告诉浏览器，在多少秒内记住这个HSTS策略。比如，max-age=31536000就表示记住一年（365天 24小时 60分钟 * 60秒）。记住的时间越长，安全性越高，但同时也意味着策略更新的周期越长。
includeSubDomains: 这个是可选的。如果你加上了这个指令，那么你的所有子域名也会受到HSTS的保护。比如，如果你的域名是example.com，并且你设置了includeSubDomains，那么www.example.com、blog.example.com等等都会被强制使用HTTPS。务必确保你的所有子域名都支持HTTPS，否则可能会造成用户无法访问。
preload: 这个也是可选的。加上这个指令，表示你希望你的网站被加入到浏览器的HSTS预加载列表中。这是一个由浏览器厂商维护的列表，包含了已知支持HSTS的网站。如果你的网站在这个列表中，那么即使是用户第一次访问你的网站，也会被强制使用HTTPS。要加入预加载列表，需要到专门的网站提交申请。别乱加，加了之后短期内很难移除。

一个简单的例子

假设你的服务器是用Node.js写的，你可以这样设置HSTS头：

const express = require('express');
const app = express();

app.use((req, res, next) => {
  res.setHeader('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
  next();
});

app.get('/', (req, res) => {
  res.send('Hello, World!');
});

app.listen(3000, () => {
  console.log('Server listening on port 3000');
});

这段代码的意思是，对于所有请求，都添加Strict-Transport-Security头，并且max-age设置为一年，同时包含所有子域名。

HSTS的优势

防止SSL Stripping攻击: 这是HSTS最主要的优势。攻击者无法通过中间人攻击将HTTPS连接降级为HTTP连接。
提升网站性能: 由于浏览器会直接发起HTTPS请求，避免了HTTP到HTTPS的重定向，减少了网络延迟。
增强用户信任: 用户可以看到地址栏上的HTTPS标志，增强对网站的信任感。

HSTS的局限性

首次访问漏洞: HSTS只在浏览器已经知道你的网站支持HSTS之后才有效。首次访问时，仍然存在被中间人攻击的风险。这就是为什么需要preload的原因。
配置错误风险: 如果HSTS配置错误，可能会导致用户无法访问你的网站。比如，max-age设置得太长，或者includeSubDomains包含了不支持HTTPS的子域名。
依赖客户端支持: HSTS依赖于浏览器的支持。如果用户使用的浏览器不支持HSTS，那么HSTS就无法发挥作用。现代浏览器基本都支持HSTS，但一些老旧的浏览器可能不支持。

绕过HSTS：理论与实践

既然HSTS这么厉害，那么有没有办法绕过它呢？答案是：有，但并不容易。绕过HSTS通常需要利用一些漏洞或者特殊情况。

1. 针对首次访问的攻击

正如前面提到的，HSTS在首次访问时存在漏洞。攻击者可以在用户首次访问网站时，进行中间人攻击，阻止服务器返回HSTS头。这样，浏览器就不会知道你的网站支持HSTS，攻击者就可以继续进行SSL Stripping攻击。

防御方法： 使用HSTS预加载列表。这样，即使是用户首次访问你的网站，也会被强制使用HTTPS。另外，确保你的网站在DNS记录中使用了DNSSEC，防止DNS劫持。

2. 清除浏览器HSTS缓存

浏览器会把HSTS策略缓存起来。如果攻击者能够访问用户的计算机，并且有权限修改浏览器的数据，那么他就可以清除浏览器的HSTS缓存。这样，浏览器就会忘记你的网站支持HSTS，攻击者就可以再次进行SSL Stripping攻击。

防御方法： 这更多的是客户端的安全问题。用户应该保护好自己的计算机，防止恶意软件的入侵。企业可以考虑使用终端安全解决方案，监控和保护员工的计算机。

3. 利用协议降级攻击

理论上，如果服务器支持TLS 1.0或者更老的协议，攻击者可以尝试进行协议降级攻击，迫使浏览器使用不安全的协议。这种攻击需要服务器存在漏洞，并且攻击者能够控制网络流量。

防御方法： 禁用服务器上的TLS 1.0和TLS 1.1协议，只允许使用TLS 1.2和TLS 1.3。定期更新服务器的软件，修复已知的安全漏洞。

4. 利用未配置HSTS的子域名

如果主域名配置了HSTS，但某个子域名没有配置HSTS，那么攻击者可以利用这个子域名进行攻击。攻击者可以先将用户重定向到这个未配置HSTS的子域名，然后再将用户重定向到伪造的HTTPS网站。

防御方法： 使用includeSubDomains指令，确保所有子域名都受到HSTS的保护。定期检查所有子域名的配置，确保它们都支持HTTPS。

5. 利用HSTS过期时间

HSTS策略的有效期是有限的，由max-age指令决定。如果HSTS策略过期了，浏览器就会忘记你的网站支持HSTS。攻击者可以等待HSTS策略过期后，再进行SSL Stripping攻击。

防御方法： 设置一个较长的max-age值，比如一年或两年。定期更新HSTS策略，防止策略过期。

6. 通过中间人修改响应头

如果攻击者能够拦截到服务器返回的响应，并且有权限修改响应头，那么他就可以移除Strict-Transport-Security头。这样，浏览器就不会知道你的网站支持HSTS。

防御方法： 使用HTTPS，并配置TLS证书。确保服务器和客户端之间的网络连接是安全的，防止中间人攻击。使用HTTP公钥固定（HPKP）可以进一步增强安全性，但HPKP配置复杂，容易出错，已被弃用。

7. DNS攻击

如果攻击者能够控制你的DNS服务器，或者进行DNS劫持，那么他就可以将你的域名指向一个伪造的IP地址。这样，用户访问你的网站时，实际上访问的是攻击者的服务器。攻击者可以在自己的服务器上伪造一个假的HTTPS网站，并阻止服务器返回HSTS头。

防御方法： 使用DNSSEC，对DNS记录进行签名，防止DNS劫持。定期检查你的DNS记录，确保它们是正确的。

总结

HSTS是一个强大的安全机制，可以有效地防止SSL Stripping攻击，提升网站安全性。但HSTS并非万能的，它也存在一些局限性。为了充分发挥HSTS的作用，需要综合考虑各种因素，采取多种安全措施。

攻击方式	描述	防御方法
首次访问攻击	用户首次访问网站时，HSTS尚未生效，攻击者可以进行中间人攻击，阻止服务器返回HSTS头。	使用HSTS预加载列表，确保即使是首次访问，浏览器也会强制使用HTTPS。使用DNSSEC，防止DNS劫持。
清除浏览器HSTS缓存	攻击者清除浏览器HSTS缓存，使浏览器忘记网站支持HSTS。	客户端安全至关重要。使用终端安全解决方案，监控和保护计算机。
协议降级攻击	如果服务器支持不安全的TLS协议，攻击者可以迫使浏览器使用不安全的协议。	禁用服务器上的TLS 1.0和TLS 1.1协议，只允许使用TLS 1.2和TLS 1.3。定期更新服务器软件，修复安全漏洞。
未配置HSTS的子域名	主域名配置了HSTS，但某个子域名没有配置，攻击者可以利用该子域名进行攻击。	使用`includeSubDomains`指令，确保所有子域名都受到HSTS的保护。定期检查所有子域名的配置，确保它们都支持HTTPS。
HSTS过期时间	HSTS策略的有效期有限，过期后浏览器会忘记网站支持HSTS。	设置一个较长的`max-age`值，比如一年或两年。定期更新HSTS策略，防止策略过期。
修改响应头	攻击者拦截到服务器返回的响应，并移除`Strict-Transport-Security`头。	使用HTTPS和TLS证书，确保服务器和客户端之间的连接安全。
DNS攻击	攻击者控制DNS服务器或进行DNS劫持，将域名指向伪造的IP地址。	使用DNSSEC，对DNS记录进行签名，防止DNS劫持。定期检查DNS记录，确保其正确性。

希望今天的讲座对大家有所帮助！记住，安全是一个持续不断的过程，需要不断学习和实践。谢谢大家！

发表回复 取消回复

发表回复取消回复