Bonne nouvelle : Microsoft annonce la prise en charge de la sécurité HTTP Strict Transport dans Internet Explorer, qui sera ajoutée ultérieurement au projet Spartan
2 minute. lis
Publié le
Partagez cet article
Améliorer ce guide
Lisez notre page de divulgation pour savoir comment vous pouvez aider MSPoweruser à soutenir l'équipe éditoriale En savoir plus
Microsoft a annoncé aujourd'hui la prise en charge de Sécurité du transport strict HTTP (HSTS) dans Internet Explorer. Cela fait déjà partie d'Internet Explorer dans l'aperçu technique de Windows 10, et il viendra également dans Project Spartan dans une mise à jour ultérieure.
La spécification HSTS définit un mécanisme permettant aux sites Web de se déclarer accessibles uniquement via des connexions sécurisées et/ou aux utilisateurs de pouvoir ordonner à leur(s) agent(s) utilisateur(s) d'interagir avec des sites donnés uniquement via des connexions sécurisées. Cette stratégie globale est appelée HTTP Strict Transport Security (HSTS). La politique est déclarée par les sites Web via le champ d'en-tête de réponse HTTP Strict-Transport-Security et/ou par d'autres moyens, comme la configuration de l'agent utilisateur, par exemple.
Cette fonctionnalité protège contre les variantes d'attaques de l'homme du milieu qui peuvent supprimer TLS des communications avec un serveur, laissant l'utilisateur vulnérable.
HSTS fournit deux méthodes aux sites pour sécuriser leurs connexions :
- Inscription à une liste de préchargement : les sites Web peuvent s'inscrire pour être codés en dur par IE et d'autres navigateurs pour rediriger le trafic HTTP vers HTTPS. Les communications avec ces sites Web à partir de la connexion initiale sont automatiquement mises à niveau pour être sécurisées. Comme d'autres navigateurs qui ont implémenté cette fonctionnalité, la liste de préchargement d'Internet Explorer est basée sur Chromium Liste de préchargement HSTS.
- Servir un en-tête HSTS : Les sites qui ne figurent pas sur la liste de préchargement peuvent activer le HSTS via le Strict-Transport-Sécurité En-tête HTTP. Après une première connexion HTTPS du client contenant l'en-tête HSTS, toutes les connexions HTTP ultérieures sont redirigées par le navigateur pour être sécurisées via HTTPS.
Lire plus à ce sujet ici.
