Omitir HSTS y la fijación de claves públicas con caracteres similares

  

Puedo ver mitigaciones al tener HSTS precargado con HSTS no_redirect, esta idea de no_redirect haría que el navegador impida un redireccionamiento HTTP para sitios web de HSTS conocidos.

Se realiza una redirección enviando una respuesta HTTP con código 302 o similar y la nueva ubicación dentro del encabezado Location de la respuesta HTTP. Si un sitio web está en la lista de precarga de HSTS, la solicitud del dominio original ya se haría con HTTPS. Esto significa que se debe realizar un protocolo de enlace TLS exitoso antes de que se envíe la solicitud HTTP dentro de la conexión TLS y se pueda recibir la respuesta HTTP con la redirección.

Esto significa que para enviar la redirección, el atacante tendría que interceptar con éxito la conexión TLS inicial (es decir, el ataque MITM) mediante el uso de un certificado de confianza y su clave privada para el dominio que el usuario intenta visitar. Intente hacer esto con algún certificado autofirmado o un certificado que no coincida con el nombre de host y espero que el usuario simplemente omita cualquier advertencia del certificado, ya que con HSTS no se ofrecerá ninguna opción para omitir los problemas del certificado.

Pero, si el atacante ya tiene acceso a dicho certificado de confianza (tal vez pirateando una CA), no hay necesidad de emitir un redireccionamiento en primer lugar, es decir, el atacante podría continuar ofreciendo una respuesta HTTP diferente ( con contenido falso) para el dominio original de la misma manera que propuso con la redirección.

Por lo tanto, el atributo no_redirect propuesto para HSTS no proporcionaría realmente seguridad adicional.