HTTP 스트릭트 트랜스포트 시큐리티

HTTP 스트릭트 트랜스포트 시큐리티(HTTP Strict Transport Security, HSTS)는 프로토콜 다운그레이드 공격, 쿠키 하이재킹 등 중간자 공격으로부터 웹사이트를 보호하는 데 도움이 되는 정책 메커니즘이다. 이를 통해 웹 서버는 단독으로 사용되는 안전하지 않은 HTTP와 달리 웹 브라우저(또는 기타 호환 사용자 에이전트)가 TLS/SSL(전송 계층 보안)을 제공하는 HTTPS 연결만 사용하여 자동으로 상호 작용해야 한다고 선언할 수 있다. HSTS는 IETF 표준 트랙 프로토콜이며 RFC 6797에 지정되어 있다.

HSTS 정책은 Strict-Transport-Security라는 HTTP 응답 헤더 필드를 통해 서버에서 사용자 에이전트로 전달된다. HSTS 정책은 사용자 에이전트가 안전한 방식으로만 서버에 액세스해야 하는 기간을 지정한다. HSTS를 사용하는 웹사이트는 HTTP를 통한 연결을 거부하거나 시스템적으로 사용자를 HTTPS로 리디렉션하여 일반 텍스트 HTTP를 허용하지 않는 경우가 많다(사양에서 요구하는 것은 아니지만). 그 결과 TLS를 수행할 수 없는 사용자 에이전트는 사이트에 연결할 수 없게 된다.

이 보호는 "처음 사용에 대한 신뢰" 원칙에 따라 사용자가 사이트를 한 번 이상 방문한 후에만 적용된다. 이 보호 기능의 작동 방식은 사용자가 해당 사이트에 HTTP(HTTPS가 아님) URL을 입력하거나 선택하면 웹 브라우저와 같은 클라이언트가 HTTP 요청을 하지 않고도 자동으로 HTTPS로 업그레이드되어 HTTP 조작을 방지하는 것이다. 중간 공격이 발생하지 않도록 한다.

같이 보기

• 콘텐츠 보안 정책
• .dev

외부 링크

• RFC 6797 – HTTP Strict Transport Security (HSTS)
• IETF WebSec Working Group
• Security Now 262: Strict Transport Security
• Open Web Application Security Project (OWASP): HSTS description
• Online browser HSTS and Public Key Pinning test
• HSTS Preload Submission for Google Chrome, Mozilla Firefox, Safari, IE 11, and Edge
• Chromium HSTS Preloaded list
• Strict-Transport-Security on MDN Web Docs