Mozilla强化Firefox HSTS安全浏览机制

为了强化使用者隐私与安全性，Mozilla为Firefox内建一组网域名单，以强化HSTS安全浏览机制对使用者的保护。

Mozilla通过安全部落格指出，已经为 Firefox浏览器加入一系列网域名单，预设需要通过HSTS (HTTP Strict Transport Security)安全连线才能存取。

HSTS是一种为确保网络浏览安全的机制，当浏览器接收到来自网站主机的HSTS政策宣告时，浏览器就只能通过https安全协定连上该网站而不能使用http;而如果浏览器无法确定连线是否安全时，就会出现错误信息，无法连线浏览。

Mozilla解释，HSTS是为确保隐私与资料安全性的有效工具，然而如果浏览器首次连到某个网站时未接收到网站主机HSTS的header，就不知道是否要建立安全连线。因此有心黑客将可能阻挠浏览器接收服务器的正确信息。这也是为什么Firefox决定内建一组强迫以HSTS连线的主机名单。

这份名单是以Google Chrome名单为基础发展而成。Firefox是对Chrome名单上有mode:force-https的主机发出呼叫，只有以HSTS header及适当max-age value (资讯片存活时间的秒数)回复的网站才会包含到Firefox的名单中，此外，如果Chrome名单中的网站的includeSubdomains值和Firefox接收到主机回复的header相符的话，也会被加入名单中。

Mozilla表示，HSTS结合Firefox预建安全连线主机名单，将能大幅强化使用者安全。目前这项功能包含于Firefox Beta版，因此Mozilla推荐使用者下载最新版本。