ChromeとSafariがHPKPを迎えることはありません

Question

私は自分のサイトにHPKPヘッダーを追加しましたが、ChromeやSafariには敬意を表しません。私はプロキシを設定し、chrome://net-internals/#hstsに行って私のドメインを探して手動でテストしましたが、それは見つかりませんでした。 HPKPは正しいと思われ、HPKP toolsetを使ってテストしましたので、有効であることがわかりました。

私は私の流れで変なことをしているかもしれないと思っています。私はmyapp.example.com以上のWebアプリを持っています。ログインすると、アプリケーションはauthserver.example.com/beginにリダイレクトされ、OpenID Connect認証コードフローが開始されます。 HPKPヘッダーはauthserver.example.com/beginからのみ返され、これが問題になると思います。私はinclude-subdomainをHPKPヘッダに入れているので、これは問題ではないと思います。

これはHPKPヘッダ（改行は読みやすくするために追加された）である：

public-key-pins:max-age=864000;includeSubDomains; \ 
pin-sha256="bcppaSjDk7AM8C/13vyGOR+EJHDYzv9/liatMm4fLdE="; \ 
pin-sha256="cJjqBxF88mhfexjIArmQxvZFqWQa45p40n05C6X/rNI="; \ 
report-uri="https://reporturl.example" 

ありがとう！

Answer 1

私は一種の過去を潜入、

RFC 7469, Public Key Pinning Extension for HTTP ...私はプロキシを設定することにより、手動でそれをテスト...私のサイトにHPKPヘッダを追加しましたが、それはクロムやSafariで表彰されていません君は。 IETFはそれを上書きして公開したので、攻撃者は既知の良いピンセットを破ることができます。これは、標準で一度、"上書き"で記載されていますが、詳細は記載されていません。また、IETFは、セキュリティの考慮事項のセクションで議論を公開することに失敗しました。

さらに、設定したプロキシが無効になっています。誤ったプロキシ、モバイルデバイスOEMによってインストールされたプロキシ証明書、またはそれをインストールするためにユーザーを騙した攻撃者によって制御されるプロキシであるかどうかは関係ありません。 Webセキュリティモデルと標準によって許可されています。彼らは傍受を受け入れ、それを有効なユースケースと考えています。彼らがした他の

何かが壊れたピンセットの報告はならないまたはべきではないを行いました。これは、ユーザーエージェントがカバーアップに共謀していることを意味します。これは、セキュリティ上の考慮事項のセクションでは説明していません。彼らは本当にあなたの想定される安全な接続が傍受されていることを人々に知らせたくありません。

ウェブセキュリティモデル外に移動することを避けるための最良の方法です。セキュリティが重要な場合は、ブラウザベースのアプリケーションを使用しないでください。ハイブリッドアプリを使用して、自分で固定します。ハイブリッドアプリはWebViewコントロールまたはビューをホストできますが、引き続きチャンネルにアクセスしてパラメータを確認します。また、OWASP's Certificate and Public Key Pinningを参照してください。

IETFメーリングリストのComments on draft-ietf-websec-key-pinningも参照してください。このコメントの示唆の1つは、タイトルを"公開鍵を使用して上書きする拡張機能"に変更して機能を強調表示することでした。当然のことながら、それは彼らが望むものではありません。彼らはユーザーの知識なしに秘密裏にそれをやろうとしています。

2.7：

---

ここではRFC 6479から関連するテキストです。事前にロードされたピンリストとの相互作用

UAは、埋め込み情報のビルトインリストなどの追加情報を 情報に追加する実装を選択することがあります。 このようなUAは、ユーザがそのような追加のソースを無効にすることを可能にするべきであり、 はそれらを考慮に入れないようにすることを含む。

以前に観察されたPKPヘッダー応答フィールドの ピンとピンの両方を内蔵している既知の固定ホストの有効ポリシーは、実装定義の です。

Answer 2

ローカルにインストールされたCA（あなたが言うようにプロキシに使用されているようなもの）は、HPKPのチェックを無効にします。

大手企業で使用されているウイルス対策ソフトウェアとプロキシは、基本的にMITMがローカルで発行された証明書を通じてトラフィックをトラップし、それ以外の場合はトラフィックを読み取ることができないため、インターネットを完全に壊さないために必要です。

CAをローカルにインストールするとマシンにアクセスする必要があると主張する人もいますが、とにかくゲームオーバーですが、私にとってもこれはHPKPの保護を大幅に軽減し、HPKPを使用するリスクが高いことを意味します私は本当にそれのファンではありません。