转载：丧钟将至?Chrome宣布将弃用HPKP

HTTP公钥固定或HPKP曾是一个被大家热议的标准，但近日谷歌的声明可能标志着该机制死亡的最后一刻。 Chrome已经宣布，他们计划在2018年5月29日之前弃用并删除对HPKP的支持。

HPKP旨在帮助网站运营保护自己免受欺诈或错误颁发的证书。如果一个黑客成功以某种方式哄骗证书颁发机构，或攻破该机构以获得证书，你的域名可能会被这个以不法手段持有证书的人盯上。他们可以装成你，并拦截其他完全安全和加密的流量。

从支持HPKP

笔者曾花费不少时间来支持HPKP，并试图帮助网站运营者理解并部署它。然而即便如此，HPKP的使用率仍然低得可怕。笔者曾为reporturi.io写过一个HPKP工具集合，曾写过一篇设置HPKP的教程以及遇到的失败案例，为的是让人们可以认识到HPKP的风险，甚至搭建一个免费的报告服务让网站可以部署并测试HPKP，而不用担心出任何错。但即便如此，社区也投入更多的努力，HPKP也从未真正起飞。或者说，它就没有飞过，因为一旦部署错误，将对你的网站造成无法弥补的损害。

到选择放弃

笔者写了两篇文章来总结目前的观点。 第一个是“使用安全功能做坏事”，并谈到了RansomPKP的问题。 攻击者可以控制你的网站，并使用HPKP对你进行部署并将访问者锁定到其密钥，从中没有真正的回溯。 尽管在BlackHat和DEF CON被谈论之后，这次攻击最近才获得了大量的实施时间，但HPKP RFC本身就是在第4.5节“敌对固定”中提到的。但撇开这些观点，真正阻碍HPKP发展的依旧是因为太难部署，也是我最终打算放弃它的原因。

真的无法挽回了吗?

如果HPKP有生命，它或许会说:"我还可以抢救一下。"有一些方法可以采取机制和改进机制，使其更安全，但是他们需要大量的协作，协议和最终的支持。 这一切都需要时间，很多时间，所有的问题仍然在那里。Ivan Ristic曾提出疑问：HPKP公钥固定已经死亡了吗?在博文中他提出了两个建议，甚至试图在上个月修正。 修正HPKP与引脚撤销和修复HPKP与证书限制是正确的方向的步骤，但它们仅是马拉松的第一步。

最糟的情况是什么?

近期的一个事件引起了笔者的注意，多个.io TLS名称服务器域忽然可以被注册，并且面向所有被认为是研究人员且拥有.io的用户。如果没有，并且攻击者真的是恶意的，他们可以很容易地控制DNS，解决域名，获取证书并以完全自动的方式激活HPKP! 我们可以在很大程度上遇到RansomPKP。 HPKP将允许攻击者在攻击发生后几个月内坚持破坏并清除。 不得不承认，这会是一个非常糟糕的场景。

如今，广泛社群对Chrome这一做法的反应将是一个有趣的关注点。作为唯一还在支持HPKP的浏览器，Firefox对Chrome的决定应该会有不少思考。

我们还在等待，等待HPKP的一丝曙光。

文章来源：sslchina

相关资讯：

HTTPS/TLS专家指出:不应使用HTTP公钥固定HPKP

HTTP公钥固定(或称为HPKP)是HTTPS最具争议的特性之一。它的设计初衷是为了抵御HTTPS所面临的最严重的威胁之一,但它也给了网站操作人员一个不可思议的强大工具,让...