HPKP

HPKP () on internetin turvallisuutta parantava menetelmä, jossa HTTP ylätunnisteen (header) kautta verkkosivun ylläpitäjä antaa kopion julkisesta avaimestaan tai jopa koko varmenteen pitkäaikaiseen säilöön esimerkiksi käyttäjän selaimeen. Kun käyttäjä käy jälleen sivulla, vertailee hänen selaimensa sivun ylläpitäjän nyt antamaan avaimeen ja aiemmin antamaan avaimeen. Jos ne täsmäävät, käyttäjä jatkaa normaalisti sivun käyttöä. Jos avaimet eivät täsmää, voi kyseessä olla yritys suorittaa välistävetohyökkäys, jolloin käyttäjä saa asiasta varoituksen. HPKP suojaa siis välistävetohyökkäyksiltä.

HPKP:n haittana voi olla mm. se, että jos HPKP:n vanhenemisen aika-asetus on liian pitkä ja sivun ylläpitäjän varmenne vanhenee tai sitä joudutaan muuttamaan yllättäen ennen HPKP vanhenemista, saavat sivua aiemmin käyttäneet varoituksen sivun turvattomuudesta ja saattavat lopettaa tai joutua lopettamaan sivun käytön. Tällöin sivun imago voi kärsiä ja sivun ylläpitäjä voi menettää rahaa asiakaskadon vuoksi. Termiä kutsutaan HPKP itsemurhaksi (eng. HPKP suicide). HPKP voi myös heikentää käyttäjän yksityisyyttä, sillä lista tallennetuista sivuista säilyy selainohjelmassa, ja laajalle levittäytynyt internetpalvelu (kuten Google) voi käyttää tätä ominaisuutta seuraamaan käyttäjän toimia internetissä. Lisäksi HPKP:tä voidaan käyttää väärin esimerkiksi jonkin verkkosivun ylätunnisteen hakkeroinnissa, jolloin hakkeri saa sivun hallintaansa ja voi kiristää sen ylläpitäjää ns. HPKP ransom -hyökkäyksessä.

HPKP-säilö on usein mahdollista tyhjentää tai kytkeä HPKP ominaisuus pois päältä.

Kirjoitushetkellä vuonna 2018 HPKP-tuki löytyy Firefox-, Opera- ja Chrome-selaimista. Edge- tai Safari-selaimissa tukea ei ole. Chrome-selaimessa tuki aiotaan lopettaa.

Katso myös
TLS
Tietoturva

Lähteet

Internet
Tietoverkkojen tietoturva