“HTTPS Everywhere”仍然相关吗？

Question

HTTPS Everywhere是一个浏览器扩展，是 Tor 项目和电子前沿基金会之间的合作，它可以自动将 HTTP URL 请求重写为安全的 HTTPS 替代方案（如果可用）。它显然已经存在了大约十年，但直到最近有人问起它才引起我的注意。试图对其进行研究产生了各种各样的信息。

1. 无论需要如何，都不清楚它“开箱即用”有多大用处。各种文章都提到需要用白名单和规则补充默认值以获得全部好处。因此，实施它似乎不是一项微不足道的任务。

2. 至少曾经有相当一部分网站仅支持 HTTP，因此使用此类软件只能提供有限的好处。处理敏感个人数据的网站似乎已几乎转向仅使用 HTTPS。Google 采取了各种措施来激励网站转换为 HTTPS。目前尚不清楚 HTTP 仍然存在多大问题（或者如果仍然存在，问题是否正在迅速消失）。

   也不清楚转换为 HTTPS 的站点是否只为旧访问者保留 HTTP 链接，并自动重定向到他们的 HTTPS 站点。

3. 主要浏览器似乎都已合并逻辑以在可用时更喜欢 HTTPS 站点，或者正在实施它。至少谷歌（还没有看到其他搜索引擎的任何信息）有一个同名的程序（不清楚它是否实际上是同一个产品），可以在搜索时自动尝试 HTTPS 连接。

4. 三年前，有一些关于“为什么你需要在任何地方安装 HTTPS”的文章。最近的一些文章建议人们停止建议人们安装此软件。要点似乎与已经复制功能的浏览器有关。

因此，尚不清楚 HTTP 是否仍然是需要解决方案的实质性问题，如果是，那么首先尝试 HTTPS 链接的软件是否可以解决剩下的问题。这整个问题是否已被事件超越？

我正在寻找上下文而不是意见（即，描述当前情况的事实，而不是关于它的好坏或我是否需要该软件的意见）。例如，现在主要的浏览器是否提供了 HTTPS Everywhere 开发的补救措施？HTTP 现在实际上仅限于没有个人数据的站点吗？是否有政府或行业法规旨在使这不是问题？换句话说，这些客观信息将使我（和其他人）能够了解当前的事态，从而形成我自己的观点并确定与我自己的相关性。

Answer 1

在混合内容和半心半意的网站配置的时代，HTTPS Everywhere 肯定曾经更加必要。现在的网络肯定更加成熟，像HSTS这样的技术可以被任何网站使用，并且为更大的玩家固定公钥（现在已弃用证书透明- 感谢 Justin 通知我）。

因此，扩展是否有用在很大程度上取决于您的个人用例。为同时提供 HTTP 和 HTTPS 服务的网站制定自定义规则是该扩展程序擅长的事情，我不知道还有其他人在做类似的工作。即使在网站不支持 HTTPS 的情况下，该扩展程序也将确保对第三方域（如 CDN）的任何引用都将升级到 HTTPS，即使原始引用是协议中立的。

Answer 2

作为 HTTPS Everywhere 之前的规则集贡献者，我有以下几点要提供。

• HTTPS Everywhere 项目会定期测试其所有重写规则，并禁用因任何原因失败的规则。这可确保对不断变化的网站配置做出相对快速的响应，但可能导致大部分规则集被禁用，除非花费大量维护工作。建议补充中央规则集的主要原因是不知道这些中央规则集可以而且应该被纠正。这是一个志愿者的可用性问题。

• 在将 Web 迁移到仅使用 HTTPS 方面取得了重大进展，但许多站点仍然配置错误，还有更多站点没有实施防止首次连接攻击所需的关键 HSTS 预加载保护。此后不久，实施此保护的站点将从 HTTPS Everywhere 的规则集中删除。

• Web 浏览器技术非常有用，但它们所做的任何超出 HSTS 预加载列表的事情都非常有用。HTTPS Everywhere 为尚未通过浏览器启用 HSTS 且本质上需要自定义社区维护 HSTS 配置的站点提供权宜之计。

总之，保持安装没有坏处。再忍受几年，希望这一切都将变得多余。

Answer 3

虽然提高对 HTTPS 和 HSTS 的认识肯定会带来安全标准，但仍然可以使用 HTTPS Everywhere 扩展：

HSTS 非常擅长防止 HTTP 降级攻击，但需要注意的一点是它基于首次使用模型的信任。这意味着您与站点的第一次连接必须通过 HTTPS 进行，否则 HSTS 保护可能会受到损害（例如，HTTP 到 HTTPS 301 重定向是攻击机会的窗口）。

HSTS 通常使用 HTST 预加载列表来防止这种情况，这是一个内置于浏览器的域列表，它强制第一个连接对这些站点仅使用 HTTPS。然而，进入列表（并等待在浏览器中应用更改）需要一些时间，并不是每个站点都费心注册自己。这是浏览器扩展通过确保所有首次连接仅通过 HTTPS 来提供帮助的地方。

另一个较小的情况是网站的 HTTPS 位于与通常不同的路径上。例如，一个网站可能拥有http://www.example而其安全站点位于https://secure.example。HTTPS Everywhere 保留了一个域数据库，以确保您访问 HTTPS 的正确 URL。

脚注：公钥固定也有帮助，但即使是 Chrome 也决定将其删除，因为采用率较低，而且有可能成为枪手。

Answer 4

我注意到仍然有几个网站支持 https，但不会将 http 流量重定向到 https。然而，扩展并不像以前那样有用。几年前，youtube、wikipedia 和 reddit 等网站都支持 https，但默认为 http。HTTPS 无处不在解决了这个问题，并且仍在解决少数仍然默认为 http 但支持 https 的网站的问题。