問(wèn)一個(gè)問(wèn)題：你在瀏覽器上填寫(xiě)網(wǎng)站地址時(shí)，是從http開(kāi)始的，還是從www，還是直接輸入zol.com.cn。以筆者為例，用的是谷歌瀏覽器，每次進(jìn)入中關(guān)村在線(xiàn)首頁(yè)，都直接輸入“zol”回車(chē)，瀏覽器會(huì)自動(dòng)跳轉(zhuǎn)到中關(guān)村在線(xiàn)首頁(yè)。你可能都沒(méi)有意識(shí)到，其實(shí)瀏覽器為我們省略了很多步驟，這當(dāng)然很好，但也可能導(dǎo)致信息安全問(wèn)題。
對(duì)網(wǎng)絡(luò)熟悉的朋友肯定聽(tīng)說(shuō)過(guò)“http”和“https”。簡(jiǎn)單來(lái)說(shuō)，二者相差的“s”就是英文安全Secure的縮寫(xiě)。HTTPS（全稱(chēng)：Hyper Text Transfer Protocol over Secure Socket Layer），是以安全為目標(biāo)的HTTP通道，因其安全性的特點(diǎn)，收到了谷歌等企業(yè)的信賴(lài)和推廣。為了保證數(shù)據(jù)安全，在https協(xié)議中采用了很多種加密算法，諸如大家比較熟悉的哈希算法，還有對(duì)稱(chēng)加密、非對(duì)稱(chēng)加密和數(shù)字簽名等。比如哈希算法就是將任意長(zhǎng)度的信息轉(zhuǎn)換成固定長(zhǎng)度的數(shù)值，而且這種算法轉(zhuǎn)換采用的是脫敏方式，算法不可逆。
但問(wèn)題是，目前我們真的用的都是https嗎，即便都是了，就真的安全了嗎？
答案必然是否定的。
正如筆者在文章開(kāi)頭描述的場(chǎng)景一樣，根據(jù)用戶(hù)習(xí)慣，我們一般只會(huì)在瀏覽器中輸入相應(yīng)的域名，并不會(huì)手動(dòng)輸入“http”或“https”。此時(shí)，瀏覽器為我們代勞，而當(dāng)前幾乎所有瀏覽器都是默認(rèn)填寫(xiě)“hppt：//”的。
此時(shí)，網(wǎng)站管理員一般會(huì)采用301/302跳轉(zhuǎn)的方式，由 HTTP 跳轉(zhuǎn)到 HTTPS，而這個(gè)過(guò)程中很有可能收到攻擊。此時(shí)，便體現(xiàn)了HSTS的功效。
那么什么是HSTS呢？事實(shí)上，HSTS是國(guó)際互聯(lián)網(wǎng)工程組織 IETF 正在推行一種新的 Web 安全協(xié)議，這種安全協(xié)議正是在網(wǎng)站跳轉(zhuǎn)時(shí)起到關(guān)鍵作用的協(xié)議，幫助用戶(hù)轉(zhuǎn)到安全鏈接。
采用HSTS安全協(xié)議的優(yōu)勢(shì)在于不但能夠增強(qiáng)數(shù)據(jù)傳輸安全性，避免在轉(zhuǎn)化過(guò)程中收到網(wǎng)絡(luò)攻擊，還可以減少網(wǎng)站 301/302 跳轉(zhuǎn)時(shí)所花費(fèi)的大量時(shí)間，極大提高安全系數(shù)和用戶(hù)體驗(yàn)。（以上圖片來(lái)自網(wǎng)絡(luò)）
京公網(wǎng)安備 11010502049343號(hào)