24、传输层安全：TLS 相关机制与 DTLS 解析

传输层安全：TLS 相关机制与 DTLS 解析

1. HTTP 头对 TLS 的影响

HTTPS 是 TLS 最突出的应用场景，通过特定的 HTTP 头可以控制 TLS 的行为，主要涉及 HTTP 严格传输安全（HSTS）和 HTTP 公钥固定（HPKP）。

1.1 HTTP 严格传输安全（HSTS）

服务器可以通过 HSTS 头告知客户端在一定时间内仅使用 HTTPS。例如，通过如下 HTTP 头：

Strict -Transport -Security: max-age=31536000

此例中告知客户端在一年（31,536,000 秒，对应非闰年）内仅使用 HTTPS。支持 HSTS 的浏览器会存储该指令，并自动将 http://example.com 形式的超链接转换为 https://example.com 。若无法建立与 example.com 的 TLS 连接，浏览器将显示错误信息。HSTS 主要用于防范 2009 年由 Moxie Marlinspike 提出的 SSL 剥离攻击，在这种攻击中，中间人攻击者与服务器建立所需的 HTTPS 连接，但与客户端仅建立 HTTP 连接。

1.2 HTTP 公钥固定（HPKP）

谷歌在 Chrome 浏览器中引入了公钥的静态固定机制，其源代码中包含了所有谷歌服务器的公钥或其哈希值。通过这种白名单方式，TLS 握手时谷歌服务器的验证与 PKI 中服务器证书的验证解耦，Chrome 对自家服务器使用静态固定，对外部服务器使