Выбор ответа Middle HTTPS и TLS обновлено
Зачем HSTS, если есть редирект на HTTPS
Вопрос
Сайт уже делает 301 с HTTP на HTTPS. Что добавляет заголовок Strict-Transport-Security?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Браузер сам идёт по HTTPS, не отправляя открытый HTTP-запрос, который перехватят. Редирект происходит после открытого HTTP-запроса, и атакующий в сети может ответить на него сам (SSL stripping).
Варианты ответа
- Ускоряет рукопожатие TLS: браузер запоминает параметры шифрования домена
- Браузер сам идёт по HTTPS, не отправляя открытый HTTP-запрос, который перехватятправильный ответ
- Шифрует куки сайта дополнительным ключом поверх TLS при каждом запросе
- Заставляет браузер требовать от сайта сертификат с расширенной проверкой (EV)
Разбор
Редирект происходит после открытого HTTP-запроса, и атакующий в сети может ответить на него сам (SSL stripping). HSTS запоминает домен, и следующие переходы сразу идут по HTTPS. Рукопожатие он не ускоряет, куки не шифрует (для этого флаг Secure и сам TLS), требований к типу сертификата не задаёт.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Предыдущий вопрос
Что такое forward secrecy
Следующий вопрос
В браузере работает, в curl ошибка сертификата