Securing the Web with HSTS-Enforced
本文介绍了“强制 HSTS"，这是一种新颖的安全机制，它利用 DNS 记录和预加载列表将当前的 HTTPS 选择加入模式反转为默认 HTTPS 选择退出模式，从而在保留需要 HTTP 的网站的访问性的同时，消除了 TLS 剥离漏洞。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象互联网是一个庞大的道路网络。多年来，我们一直遵循一条规则：“如果你想在高速公路上行驶（HTTPS），你需要一张特殊通行证。”但问题在于：获取这张通行证是可选的。如果你忘记获取它，或者一个恶意行为者（黑客）阻断了你通往高速公路的路径，你的汽车就会被迫走上一条颠簸、露天的土路（HTTP）。在那条土路上，任何站在路边的人都可以窥视你的车内，偷走你的行李，甚至用假乘客替换你的真实乘客。
本文介绍了一个名为HSTS-Enforced的新系统。这相当于彻底翻转了整个交通规则手册。
旧方式：“主动加入”式安全
目前，网站所有者必须通过在其网站上添加特定标头来说出：“嘿，请锁好我的门！”
- 缺陷：如果所有者忘记添加锁，或者黑客阻断了告诉你的浏览器锁门的信号，你的连接将保持未锁定状态。
- 结果：这就像一个社区，你必须自己购买死锁。如果你没有购买，或者送货员被小偷拦下，你的房子就完全敞开着。
新方式：“主动退出”式安全（HSTS-Enforced）
作者提出了一种系统，其中所有网站默认都是锁定的。
- 规则：你的浏览器假设每个网站都是一座堡垒。它只会尝试通过安全的、装甲化的大门（HTTPS）进入。
- 例外：如果一个网站确实需要被解锁（也许它是一个无法处理锁的旧设备，或者是一个本地路由器设置），所有者必须挂起一个非常具体、防篡改的标牌，上面写着：“此处无需锁即可安全进入。”
两个“标牌”（指示器）
浏览器如何知道哪些网站允许被解锁？本文提出了两种悬挂该标牌的方式：
“预加载列表”（主目录）：
想象一个由浏览器制造商维护的庞大官方目录。如果网站所有者希望被解锁，他们可以申请加入此列表。浏览器首先检查此列表。如果网站不在列表中，浏览器会假设它是锁定的，并且不会在没有安全密钥的情况下让你进入。- 类比：这就像酒店的“请勿打扰”名单。如果你的名字不在“请勿打扰”名单上，前台就会假设你希望被叫醒（即被保护）。
"HTTPREQ"DNS 记录（数字印章）：
这是一个附加在网站地址（电话簿/DNS）上的特殊数字印章。它使用加密印章（DNSSEC）来证明网站所有者确实请求了“未锁定”状态。- 类比：这就像信件上的火漆印。如果印章破损或缺失，收件人就知道这封信未被正式授权开启。
为什么这更好？
本文声称这解决了三个主要难题：
- 不再有“首次访问”漏洞：在旧系统中，你第一次访问某个网站时，在“锁”被下载之前你是易受攻击的。在这个新系统中，你立即就被锁定。只有当网站证明它需要被解锁时，你才会被解锁。
- 不再有意外错误：网站所有者经常搞错安全设置。在旧系统中，一个错误意味着你的网站被解锁了。在这个新系统中，一个错误仅仅意味着你的网站保持锁定（这是安全的）。你必须主动尝试违反规则才能被解锁。
- 不再有追踪：一些旧的安全方法允许网站根据你的特定设置来追踪你。这个新系统对所有人一视同仁，除非有特定的公开标牌说明例外情况，这使得监视用户变得更加困难。
那“棘手”的情况呢？
作者知道有些东西必须保持未锁定，比如你家庭 Wi-Fi 路由器的设置页面或咖啡店的强制门户。
- 解决方案：该系统自动为“localhost"（你自己的计算机）、IP 地址和本地网络设备等情况做出例外处理。它还允许“预加载列表”处理网站所有者证明需要 HTTP 的具体案例。
这会减慢速度吗？
作者在真实浏览器（Chromium）中测试了这一点，发现：
- 速度：对于 99% 的网站（那些已经安全的网站），零减速。你只是在高速公路上行驶。
- 代价：唯一会稍微变慢的情况是你试图访问一个旧的、未锁定的网站。浏览器必须检查“数字印章”（DNSSEC）以确保进入是安全的。这会带来微小的延迟（就像查看地图几秒钟），但为了安全，这是一个很小的代价。
过渡计划
作者建议逐步实施：
- 第一阶段：给网站所有者时间更新他们的网站或申请“未锁定”列表。
- 第二阶段：浏览器开始默认强制执行新规则。
- 第三阶段：最终，所有互联网工具（不仅是浏览器，还包括下载工具和应用程序）都将使用这种默认安全规则。
核心结论
HSTS-Enforced将互联网从一个你需要希望房子被锁定的地方，改变为一个默认每栋房子都被锁定、你必须证明你需要门打开才能解锁的地方。它阻止黑客强迫你走上“土路”，并使网络对每个人更安全，几乎不会牺牲速度或便利性。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。