HSTS implementato ma non funzionante?

Naviga le tue risposte
1

Durante il collegamento su una rete molto ristretta, ero in grado di accedere a Internet solo tramite un proxy Squid che era configurato solo per HTTP sulla porta 80.

Durante la navigazione su google.com, riesco a ricevere il sito senza SSL attivo. Ho controllato il record HSTS per google.com su chrome: // net-internals / hsts e records esiste.

Quindi, come mai il sito è ancora in fase di caricamento nel browser e ridotto a http / 80? È lo stesso di un attacco MITM ... pensavo che l'HSTS avrebbe bloccato questo.

    
posta peterrobertlzlz 24.01.2017 - 05:30
fonte

1 risposta

1

Il proxy riscrive interamente i pacchetti, quindi a seconda della configurazione del proxy, tutto è possibile. Quindi, il proxy sta facendo la connessione ssl al server e ti sta servendo una pagina web non-ssl. Forse è solo una pagina web nella cache. Hai provato a fare alcune ricerche su google? Prova a cercare qualcosa di "strano" su cui è stato assegnato il compito di annullare la sincronizzazione se HTTP rimane, se sì, conferma non solo le pagine Web memorizzate nella cache ma sslstripping.

È una rete affidabile? in caso contrario, non navigare sul Web perché le password e le credenziali possono essere intercettate in modo semplice.

Un proxy combinato con DNS può bypassare l'HSTS. Si chiama sslstrip2 o sslstrip+ . Guarda questo o

    
risposta data 24.01.2017 - 09:09
fonte

Leggi altre domande sui tag

Come faccio a sapere se il computer host si accende o si spegne? [chiuso] Registrazione scarsa comunicazione in uscita