Как правильно установить заголовок HPKP (Publi c -Key-Pinning Header)?

Question

Я абсолютно запутался в заголовке Publi c -Key-Pinning. Как добавить его в Apache?

Что я сделал:
Взял publi c key ha sh из моего сертификата домена, промежуточного сертификата и сертификатов root отдельно и добавил это apache, mod_headers включен. Но ssllabs говорит: «Нет цепочки. Проверьте резервные контакты»

Header always set Public-Key-Pins "pin-sha256=\"Root-SSL-Public-Key\"; pin-sha256=\"Intermediate-SSL-Public-Key\"; pin-sha256=\"Domain-SSL-Public-Key\"; max-age=2592000; includeSubDomains"

Answer 1

HPKP - плохая идея. Слишком легко создать свой сайт, используя его, и защита, которую он обеспечивает, довольно мала, учитывая, что.

Из-за этого почти все браузеры отказались от поддержки HPKP .

Одна из вещей, которые входит в состав c для предотвращения взлома вашего сайта, заключается в том, что у вас должен быть хотя бы один пин НЕ в вашем текущем сертификате и цепочке . То есть у вас должно быть два совершенно независимых контакта - один из резервного ключа / сертификата / CA, поэтому, если вы потеряете контроль над своим основным, вы все равно сможете подключиться. Если вы только закрепили свой сертификат, промежуточное звено и root, то они все из одной цепочки и поэтому не отвечают этому требованию.

Исправьте это, и оно должно быть принято SSLLabs. Но, честно говоря, зачем беспокоиться о поддержке браузера и профиле риска и вознаграждения?