ADJ網路實驗室 - Powered by Discuz! Board

標題: [介紹] 讓nginx配置使用 HSTS 安全傳輸 - HTTP Strict Transport Security [打印本頁]

作者: chrome 時間: 2017-6-20 16:36 標題: 讓nginx配置使用 HSTS 安全傳輸 - HTTP Strict Transport Security

HTTPS(SSL和TLS)確保用戶和網站通訊過程中安全，使攻擊者難於攔截、修改和假冒。當用戶手動輸入域名或http://鏈接，該網站的第一個請求是未加密的，使用普通的http。最安全的網站立即發送回一個重定向使用戶引向到https連接，然而，中間人攻擊者可能會攻擊攔截初始的http請求，從而控制用戶後續的回話。

自然而然HSTS應運而生為了解決這一潛在的安全問題。即時用戶輸入域名或http連接，瀏覽器將嚴格的升級到https連接。

(1)nginx配置HSTS

在nginx配置文件上設置HSTS Header:

引用:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload” always;

always 參數確保所有的響應設置該頭部，包括內部產生的錯誤響應。 nginx版本早於1.7.5不支持該always參數和內部產生的錯誤響應不設置該頭部信息。

加了上面這段後,重啟nginx 就可以了.

SSH系統如何檢測：

引用:

# curl -s -D- https://www.sample.com/ | grep -i Strict
strict-transport-security: max-age=31536000; includeSubDomains

如果出現strict-transport-security 等訊息就代表成功了,沒成功的話都沒字眼出現.

(2)將域名加入 HSTS Preload List

有一種狀況,就是當他第一次訪問的時候就可能有問題了，由於是http 協議進行的數據傳輸，因此這裡就可能被別人進行網域挾持了，他就可以改掉你的HSTS 規則，然後給你直接挾持到他們指定的網站上去，那麼用戶可能就無法正常訪問到我的網站了。

於是乎，HSTS Preload List 似乎就是一種機制來解決這個問題

HSTS Preload List 是一個站點的列表，他將會被通過硬編碼寫入Chrome 瀏覽器中，列表中的站點將會默認使用HTTPS 進行訪問，此外，Firefox 、Safari 、IE 11 和Edge 也同樣一份HSTS站點列表，其中包括了Chrome 的列表

很簡單，我們需要打開這個頁面，HSTS Preload Submission
https://hstspreload.org

照著它的指示加入列表,這樣一來要被挾持也就不太可能了～

作者: lggmmynntlr 時間: 2017-6-22 09:11 標題: 水喔!! 希望大大能夠多貼貼

作者: lggmmynntlr 時間: 2017-6-28 18:22 標題: 謝謝大大的分享.....一定要推的啦

作者: kkaxpp 時間: 2017-7-5 14:07 標題: 一定常給你支持...GOOD！

作者: pablqznsj 時間: 2017-7-17 15:08 標題: 來給你加油,幫你推一下喔~

歡迎光臨 ADJ網路實驗室 (http://dz.adj.idv.tw/)