Linux中国
多达 95% 的 HTTPS 链接能被黑客劫持
![](https://linuxstory.org/wp-content/uploads/2024/06/052822i80cb38nb6imb08i-800x400.png)
95% 的 HTTPS 连接处于风险中
据最近的 Netcraft study 报告数据显示,当前多达 95% 的服务器所运行的 HTTPS 没有正确地设置 HSTS 或其它配置,以至于将 HTTPS 连接暴露于上述攻击风险之中。
更值得注意的是,Netcraft 在三年前进行的同样扫描,不正确配置的 HSTS 比例仍同现在一样。这表明 Web 管理员们并没有学会或被告知如何正确地设置 HSTS。
针对这些不安全的站点的最容易的攻击场景是 HTTPS 降级攻击,攻击者可以选择多种方式来迫使一个看起来安全的 HTTPS 连接根本不使用数据加密或使用更弱的算法,这样攻击者就可以进行数据窃取了。
据安全研究人员称,在这 95% 的没有正确设置 HSTS 的站点中,有很多银行和金融机构的网站。
你可以通过下面一行配置激活你的 HSTS
不需要费脑筋,你只需要将下述的一行配置添加到你的 HTTPS 服务器配置中即可实现 HSTS。
Strict-Transport-Security: max-age=31536000;
这一行可以让服务器告诉浏览器仅通过 HTTPS 连接来访问其内容,其策略有效期为长达一年的最大有效时间。
当上述配置生效后,即便用户在他的浏览器中输入 URL 时写了 “http://”前缀,浏览器仍将会自动切换“https://”。
更多关于 HTTPS 及 HSTS 的技术实现细节,请参阅以下文章:
- 跑步进入全站 HTTPS ,这些经验值得你看看
- 增强 nginx 的 SSL 安全性
- 如何配置使用 HTTP 严格传输安全(HSTS)
- 作为 HTTPS 的骨灰粉,怎么可以不加入 HSTS 预载入列表
- 大型网站的 HTTPS 实践(三):基于协议和配置的优化
- SSL/TLS 加密新纪元 - Let's Encrypt
本文转载来自 Linux 中国: https://github.com/Linux-CN/archive
对这篇文章感觉如何?
太棒了
0
不错
0
爱死了
0
不太好
0
感觉很糟
0
More in:Linux中国
如何通过 VLC 使用字幕
使用 VLC 媒体播放器播放和管理字幕的新手指南。
Unix 桌面:在 Linux 问世之前
仅仅开源还不足以实现开放,还需开放标准和建立共识。
Valve 对于 Ubuntu 的 Snap 版本的 Steam 并不满意:原因何在
你可能会发现,Snap 版本的 Steam 并不如你期待的那样好,你怎么看?
Wine 9.0 发布,实验性地加入了 Wayland 驱动
Wine 的这个新版本正在为未来做好准备!