2017年10月,Google安全团队在论坛上公开宣布:由于公钥固定(HTTP Public Key Pinning,简称HPKP)普及率低和存在技术挑战,计划于2018年5月发布的Chrome 67解除对HTTP HPKP的支持,公告一出马上引起行业内的热议。 HPKP具体是什么呢?本文详细介绍了HPKP的定义、存在的问题、以及取代它的CT项目等信息。 什么是HPKP HPKP是HTTPS网站防止攻击者利用证书授权中心(Certificate Authority,简称CA)机构错误签发的证书进行中间人攻击的一种安全机制,它旨在预防攻击者入侵CA偷发证书、浏览器信任的CA签发伪造证书等情况。 HPKP公钥固定安全机制所携带的是中级证书或者根证书的哈希值,并与终端浏览器约定此哈希值会在一定时间(通常是1年)失效。 HPKP问题所在 安全隐患 参与撰写和制定该标准(RFC