查看: 1050|回复: 6

HTTPS可被设置成超级跟踪器且无法根除

[复制链接]

[db:作者]

等级:

级别: 论坛元老

UID: 7

阁分: 36567

阁望: 0

阁献: 0

活跃: 0

发贴: 12405 (0)

阁币: 24162

性别:

阅读权限: 90
在线时长: 0 小时
注册时间: 2016-10-16
最后登录: 2016-10-18

电梯直达 go

楼主

发表于 2016-10-17 15:37:22 |只看该作者 |倒序浏览


	本帖发表于 2016-10-17 15:37:22...阅读 1051 人...加油,亲爱的楼主：[db:作者] 根据互联网系列标准(RFC)收录的第6797号文件描述，HTTP强制安全传输协议(HSTS)指的是一种可以将用户从不安全HTTP版本网站重定向到安全HTTPS版本网站的机制,。比如用户在浏览器中访问http://www.google.com，浏览器就可以将网站重定向到https://www.google.com。问题是，有人认为如果浏览器在用户每次访问HTTPS网站的时候都必须做一次重定向，是一件很麻烦的事情。所以HSTS的作者创造了一种机制，让浏览器记住用户已访问网站的HSTS策略。安全研究人员山姆·格林哈尔希(Sam Greenhalgh)发现，这种具有安全特性的HTTPS网络协议，可以在一些浏览器中变得具有跟踪特性，并且无法根除。这就是山姆·格林哈尔希识别出来的超级COOKIE。他的观点是，HSTS探针的存在是为每个用户访问的HTTPS网站进行重定向的，它对于用户和网站都是独一无二的，并且可以由任何网站从浏览器设置中进行读取。一旦数字被存储下来，那它就可以在未来被其他网站读取。读取该数字只需要测试相同站点地址发送的请求是否得到重定向。“私密浏览模式”或“隐身浏览模式”都无济于事。格林哈尔希指出，一些浏览器允许HSTS标志被清除，所以在一定程度上，Chrome、Firefox和Opera的问题就可以得到一定程度的减轻(当然IE压根就不支持HSTS)。然而，Safari浏览器就完蛋了。当在苹果设备上使用Safari，要通过用户来清除HSTS标志根本没门。不仅无法清除，HSTS标志甚至还被iCloud服务同步到云端，就算苹果设备上的数据被清除，也可以通过iCloud进行恢复。苹果这时候反而体现出了它高效的跟踪特性，让人根本没办法删除。格林哈尔希还指出，早在2012年米哈伊尔·大卫多夫(Mikhail Davidov)就曾描述过，称其对于恶意站点拥有者来说要利用这个漏洞“几乎信手拈来”。谷歌也曾告诉格林哈尔希，在Web工作原理如果没有根本性转变的情况下，要打败所谓的指纹识别是不切实际的。而IE完全不支持HSTS也让人匪夷所思。当然，这或许只是谷歌自己的看法。毕竟谷歌是HSTS的投资人之一，况且亚当·巴斯(Adam Barth，谷歌软件工程师)还是6797号文件三位写作者中的作者之一。

楼主新帖

楼主热帖

分享到: QQ好友和群 QQ空间 腾讯微博 腾讯朋友

收藏0 支持0 反对0

使用道具举报

hjghjgj

等级:

级别: 金牌会员

UID: 2

阁分: 1290

阁望: 0

阁献: 0

活跃: 0

发贴: 1285 (0)

阁币: 5

性别:

阅读权限: 70
在线时长: 0 小时
注册时间: 2016-10-14
最后登录: 2016-10-18

沙发

发表于 2016-10-17 15:40:37 |只看该作者


	本回复帖发表于 2016-10-17 15:40:37，感谢hjghjgj对本帖的认真回复，你的回复是对楼主莫大的鼓舞路过，支持一下啦

使用道具举报

天涯浪子

等级:

级别: 金牌会员

UID: 3

阁分: 99952315

阁望: 97

阁献: 111

活跃: 0

发贴: 1914 (0)

阁币: 99950096

性别:

阅读权限: 70
在线时长: 2 小时
注册时间: 2016-10-14
最后登录: 2016-10-24

板凳

发表于 2016-10-17 16:00:15 |只看该作者


	本回复帖发表于 2016-10-17 16:00:15，感谢天涯浪子对本帖的认真回复，你的回复是对楼主莫大的鼓舞这是什么东东啊

使用道具举报

沙漠虫子

等级:

级别: 高级会员

UID: 4

阁分: 999851780

阁望: 100

阁献: 101

活跃: 0

发贴: 1381 (0)

阁币: 999850098

性别:

阅读权限: 50
在线时长: 1 小时
注册时间: 2016-10-14
最后登录: 2016-10-24

地板

发表于 2016-10-17 17:03:15 |只看该作者


	本回复帖发表于 2016-10-17 17:03:15，感谢沙漠虫子对本帖的认真回复，你的回复是对楼主莫大的鼓舞这是什么东东啊

使用道具举报

爱情孤儿

等级:

级别: 管理员

UID: 1

阁分: 2147483647

阁望: 993

阁献: 2147483647

活跃: 0

发贴: 1532 (0)

阁币: 9430326

性别:

阅读权限: 200
在线时长: 46 小时
注册时间: 2016-10-14
最后登录: 2023-10-3

5^#

发表于 2016-10-17 17:36:15 |只看该作者


	本回复帖发表于 2016-10-17 17:36:15，感谢爱情孤儿对本帖的认真回复，你的回复是对楼主莫大的鼓舞写的真的很不错

使用道具举报

方丹果舞

等级:

级别: 金牌会员

UID: 5

阁分: 1295

阁望: 0

阁献: 0

活跃: 0

发贴: 1242 (0)

阁币: 53

性别:

阅读权限: 70
在线时长: 0 小时
注册时间: 2016-10-15
最后登录: 2016-10-18

6^#

发表于 2016-10-18 11:03:35 |只看该作者


	本回复帖发表于 2016-10-18 11:03:35，感谢方丹果舞对本帖的认真回复，你的回复是对楼主莫大的鼓舞过来看看的

使用道具举报

海东青

等级:

级别: 论坛元老

UID: 6

阁分: 4047

阁望: 0

阁献: 0

活跃: 0

发贴: 1895 (0)

阁币: 2152

性别:

阅读权限: 90
在线时长: 0 小时
注册时间: 2016-10-15
最后登录: 2016-10-18

7^#

发表于 2016-10-18 13:02:49 |只看该作者


	本回复帖发表于 2016-10-18 13:02:49，感谢海东青对本帖的认真回复，你的回复是对楼主莫大的鼓舞不错不错，楼主您辛苦了。。。

使用道具举报

返回列表

		自动登录	找回密码
密码			立即注册

HTTPS可被设置成超级跟踪器 且无法根除

HTTPS可被设置成超级跟踪器且无法根除