Комментарии 26
Нет, никто из них эту спецификацию не поддерживает.
горбатого мозила исправит
> Проблема существует с 2001 года, когда выпустили IE6.
Проблема существовала и раньше. IE 5.5, например, умирал очень долго. Так что не стоит надеяться на девятый IE. Он может казаться неплохим сейчас, но через 10 лет мы его будем проклинать :)
Проблема существовала и раньше. IE 5.5, например, умирал очень долго. Так что не стоит надеяться на девятый IE. Он может казаться неплохим сейчас, но через 10 лет мы его будем проклинать :)
Chromium это уже давно умеет. Я на Википедии это ещё осенью писал, а в Chromium впихнули ещё в январе
Пруф
Пруф
Последняя бета версия Firefox 4 уже поддерживает HSTS
А есть реально работающие сайты использующие это?
Я немного не понял. Эта директива возвращается сервером? Что мешает при MitM её потереть? Что мешает просто предоставлять исключительно https?
Только вот совсем не понятно все-таки мне зачем это надо, если можно просто редиректить на https и все, если тебе так сильно нужен https, а на http чтоб ничего кроме 301 редиректа и не было…
Если с сервака Сразу пойдет шифрованный траф, то как его прочитать? О_о
Ведь сначала надо договориться об алгоритме шифрования, сделать ключ… А клиент знать не знает про это. Он же по http соединяется.
Ведь сначала надо договориться об алгоритме шифрования, сделать ключ… А клиент знать не знает про это. Он же по http соединяется.
Хорошая MitM будет вестись с применением скомпрометированного корневого сертификата. И на уровне провайдера.
То есть для любого устанавливаемого защищенного соединения будет сгенерирован подходящий сертификат, подписанный скомпрометированным (или добавленным в систему корневым) сертификатом.
Пользователь не только не сможет предотвратить такой атаки, но и даже ее не заметит.
То есть для любого устанавливаемого защищенного соединения будет сгенерирован подходящий сертификат, подписанный скомпрометированным (или добавленным в систему корневым) сертификатом.
Пользователь не только не сможет предотвратить такой атаки, но и даже ее не заметит.
Кстати для уменьшения click-through insecurity реализация данного стандарта тоже не сильно поможет. Пользователь просто запустит другой браузер, который «работает».
Ну для этого надо как минимум скомпроментированный корневой сертификат… как показал опыт Stuxnet конечно можно много чего откопать, но все-таки это сложно…
> Хорошая MitM будет вестись с применением скомпрометированного _корневого_ сертификата.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
HSTS будет внедрён в Firefox и Google Chrome