- What
- HPKP是一种Trust on First Use的减少CA被攻击的印象的技术。
- How
- 第一次用户访问的时候通过meta元素或消息头告诉client在未来某段时间只信任xxx公钥，如果后面访问server没有这个公钥，至少标识给用户看看。
- Why
- 因为CA太多了，如果一家gg了，client得到的证书都不一定有用。
- HPKP这种方式可以保证只相信某些公钥。
- What
- 最近Chrome宣布18年要完全移除HPKP。除了HPKP本身的问题外，大家可以想想这种机制的问题何在？
LawrencePeng's Blog
专注收集代码小精灵