如何正确设置 HPKP 标头（Public-Key-Pinning Header）？

Question

我对标题 Public-Key-Pinning 感到非常困惑。 你如何在Apache中添加它？

我做了什么：
分别从我的域证书、中间证书和根证书中获取公钥哈希并将其添加到 apache，启用 mod_headers。 但是 ssllabs 说“没有链。检查备份引脚”

Header always set Public-Key-Pins "pin-sha256=\"Root-SSL-Public-Key\"; pin-sha256=\"Intermediate-SSL-Public-Key\"; pin-sha256=\"Domain-SSL-Public-Key\"; max-age=2592000; includeSubDomains"

Answer 1

HPKP 是个坏主意。 使用它来破坏您的网站太容易了，而且鉴于此，它提供的保护相当小。

几乎所有浏览器都因此放弃了对 HPKP 的支持。

的事情之一，该规范包括减轻破坏你的网站，你必须至少有一个引脚，是不是在你当前的证书和链。 也就是说，您必须有两个完全独立的引脚 - 一个来自备份密钥/证书/CA，因此如果您失去对主要引脚的控制，您仍然可以连接。 如果您只固定了您的证书、中间证书和根证书，那么它们都来自同一链，因此不符合此要求。

解决这个问题，它应该被 SSLLabs 接受。 但老实说，为什么要考虑浏览器支持和风险与回报的关系呢？