強制公鑰密碼引腳max-age更新引腳

Question

定期將公鑰密碼引腳（HPKP）的最大期限設置爲1或2年內的有效期（以秒爲單位）。如果您在SSL用完之前更改SSL證書並且訪問者仍舊擁有舊證書的公鑰鑰匙，那麼該怎麼辦？

它應該沒有訪客必須做的瀏覽器。

Answer 1

重要的區別：公鑰固定引腳的公鑰，而不是證書。證書包含公鑰，但還包含來自證書頒發機構的公鑰（和相關元數據）的簽名。

我如何使用HPKP：

1. 3生成密鑰對。
2. 上傳一個到服務器，用於HTTPS。
3. 在HPKP標頭中包含所有三個公鑰的SHA256散列。

這給了我兩個備份。我把它們都放在加密的存儲上;一個留在我的人身上，另一個留在保險箱裏。

其他人固定到來自多個證書頒發機構的中間證書。

此外，兩個月的最大年齡是足夠的。攻擊者還擁有證書透明度（以及適用於HTTPS Everywhere擴展的用戶的SSL觀察站）。