Несколько дней назад в официальном блоге Касперского появилась статья под заголовком: "Microsoft вводит HSTS для Windows 7 и 8.1"

Что такое HSTS, каковы его функции и насколько защищеннее он делает вашу операционную систему - вы сможете узнать, прочитав заметку, которую мы для вас публикуем ниже:

"Довольно скромный набор обновлений, выпущенный Microsoft на прошлой неделе, привнес дополнительную меру безопасности для пользователей Internet Explorer 11 под Windows 7 и Windows 8.1 — HSTS.

Строгая безопасность передачи информации по протоколу HTTP (HTTP Strict Transport Security, HSTS) реализована в виде заголовка политики безопасности, который диктует браузерам подключаться только по HTTPS, оперируя предварительно загруженным списком сайтов, поддерживающих этот протокол. Данный механизм обеспечивает шифрование коммуникаций с веб-сайтами и пресекает попытки внедрения в сессии по типу "человек посередине»".

Согласно OWASP, поддержка стандарта HSTS также позволяет защититься от кибератак с использованием недействительных цифровых сертификатов и блокирует самостоятельное снятие запрета для сообщений с невалидной подписью. Кроме того, HSTS ограждает пользователей от переходов на HTTPS-сайты, которые могут содержать HTTP-ссылки или отдавать нешифрованный контент.

HSTS уже включен по умолчанию в Internet Explorer 11 для версии Windows 10 Insider Preview и в новом браузере Microsoft Edge, который, как ожидается, войдет в состав полнофункциональной Windows 10.

"Разработчики сайтов смогут использовать политики HSTS для защиты соединений, присоединившись к HSTS-списку, который загружается в Microsoft Edge, Internet Explorer и другие браузеры, чтобы перенаправлять HTTP-трафик на HTTPS, — поясняет Кайл Пфлуг (Kyle Pflug), руководитель проекта Microsoft Edge. — Коммуникации с этими сайтами, начиная с первичного подключения, будут автоматически повышаться до безопасного уровня".

Microsoft вводит HSTS позднее других крупных вендоров браузеров. В Google Chrome и Mozilla Firefox такая поддержка существует с 2011 года, Apple добавила ее в Safari с выпуском версии 10.9 Mavericks. Незадолго до ввода HSTS, в мае, Microsoft привнесла в Windows совершенную прямую секретность (Perfect Forward Secrecy, PFS), которая ныне считается важной мерой безопасности, особенно для новых приложений.

Поддержка HSTS была включена в накопительное обновление для IE, вышедшее на прошлой неделе. Оно устранило два десятка уязвимостей, большинство из которых открывают возможность для удаленного выполнения произвольного кода.

HSTS также помогает устранить проблемы со смешанным контентом, пресекая загрузку небезопасных HTTP-сценариев во время соединения с сайтом по HTTPS. «Впервые анонсируя HSTS в Windows 10, мы отметили, что серверы, поддерживающие HSTS, не отдают смешанное содержимое, — комментирует Пфлуг. — С учетом нынешних обновлений так всегда и будет с Microsoft Edge на Windows 10: смешанный контент на этих серверах всегда заблокирован. При загрузке страницы со смешанным контентом в Internet Explorer 11 под Windows 10, Windows 8.1 или Windows 7 панель информации запросит у пользователя разрешение на выполнение небезопасного сценария".