web-dev-qa-db-ja.com

サポートされていないブラウザでのHSTSの影響は何ですか?

HSTSは現在、EdgeおよびIE11でのみ使用できます。ブラウザーの下位バージョン(IE9およびIE10)での影響は何ですか? HSTSはどのように動作しますか?サイトに影響はありますか?

5
ChallengeMe

WebサイトはStrict-Transport-Securityヘッダーを送信してHSTSを実装します。ヘッダーを理解しないブラウザーは、他のカスタムヘッダーや不正なヘッダーと同様に、ヘッダーを単に無視します。

サイトに影響はありますか?

影響は、HSTSが防御することになっている攻撃(つまり、HTTPSダウングレード攻撃)に対してユーザーが脆弱になることです。つまり、ユーザーがサイトにアクセスしても、ブラウザは、サイトが指定された時間だけHTTPS経由でホストに接続することを覚えているように指示していることに気づきません。したがって、ユーザーがmybank.comと入力した場合、ブラウザはHSTSディレクティブを呼び出すのではなく、常に最初にHTTP経由でサイトに接続しようとします。

MITMの脅威(および古いブラウザを実行するリスク)以外に、ブラウジングエクスペリエンスへの影響はありません。

やや関連:

8
Arminius