論文の概要: Securing the Web with HSTS-Enforced

• arxiv url: http://arxiv.org/abs/2605.04642v1
• Date: Wed, 06 May 2026 08:33:12 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-05-07 18:41:07.728893
• Title: Securing the Web with HSTS-Enforced
• Title（参考訳）: HSTS-EnforcedによるWebのセキュア化
• Abstract要約: TLSストリッピング攻撃は、セキュアなHTTPS接続を暗号化されていないHTTPにフォールバックさせ、センシティブなWebトラフィックを公開する。 これらの攻撃に対する保護は、HTTP Strict Transport Security (HSTS)ヘッダなどのメカニズムをデプロイすることで、Webサイトオペレーターがセキュリティを明示的にオプトインすることに依存する。 HSTS-EnforcedはTLSストリッピングの残りのアタックサーフェスを排除しつつ、オペレータがWebサイトをHTTP経由でアクセスする必要があることを確実に指定できるメカニズムです。
• 参考スコア（独自算出の注目度）: 42.091774598477706
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: TLS stripping attacks expose sensitive web traffic by forcing secure HTTPS connections to fall back to unencrypted HTTP. At present, protection against these attacks relies on website operators explicitly opting into security by deploying mechanisms such as HTTP Strict Transport Security (HSTS) headers. These mechanisms have significant limitations: some are weak or difficult to configure, which raises the risk of misconfiguration and reduces practical adoption; others violate HTTP backward compatibility; at least one can even be abused to enable unintended user tracking. We introduce HSTS-Enforced, a mechanism that eliminates the remaining attack surface for TLS stripping while still allowing operators to securely specify that their websites need to be accessed over HTTP when necessary, thereby maintaining accessibility. To achieve this, we flip the current opt-in security model to an opt-out model: all connections default to HTTPS, and operators can explicitly opt out if their websites require HTTP using so-called HTTP-Required indicators. We propose two such HTTP-Required indicators: a new DNS record and an HTTP-Required Preload list. We evaluate HSTS-Enforced under multiple deployment scenarios, demonstrating that it blocks all practical TLS stripping attempts while maintaining compatibility for sites that require HTTP - without introducing overhead in the typical case. Finally, we outline a practical transition path to accelerate global adoption.
• Abstract（参考訳）: TLSストリッピング攻撃は、セキュアなHTTPS接続を暗号化されていないHTTPにフォールバックさせ、センシティブなWebトラフィックを公開する。 現時点では、これらの攻撃に対する保護は、HTTP Strict Transport Security (HSTS)ヘッダなどのメカニズムをデプロイすることで、Webサイトオペレーターがセキュリティを明示的にオプトインすることに依存している。 これらのメカニズムには、設定が弱い、あるいは難しい、設定ミスのリスクを高め、実践的な採用を減らす、HTTPの後方互換性を侵害する、少なくとも1つは、意図しないユーザ追跡を可能にするために悪用される、といった大きな制限がある。 HSTS-EnforcedはTLSストリッピングの残りのアタックサーフェスを排除しつつ,必要に応じてWebサイトをHTTP経由でアクセスする必要があることをオペレータがセキュアに指定し,アクセシビリティの維持を可能にする機構である。 これを実現するために、現在のオプトインセキュリティモデルをオプトアウトモデルに切り替える: すべてのコネクションはデフォルトでHTTPSで、オペレータは、いわゆるHTTP-Requiredインジケータを使用してWebサイトがHTTPを必要とする場合、明示的にオプトアウトできる。 我々は、新しいDNSレコードとHTTP-Required Preloadリストという2つのHTTP-Requiredインジケータを提案する。 HSTS-Enforceedを複数のデプロイメントシナリオで評価し、HTTPを必要とするサイトとの互換性を維持しながら、すべての実用的なTLSストリッピングの試みをブロックすることを示した。 最後に,グローバルな普及を促進するための実践的な移行経路を概説する。

関連論文リスト

• Understanding the Privacy-Preserving Potential of HTTP/2 Against Webpage Fingerprinting [13.246544338987414]
  Webサイトフィンガープリント(WF)攻撃は、暗号化されたHTTPSトラフィックからユーザーが訪問するWebページを推測することができる。 WFディフェンスは通常、ノイズ、パディング、遅延、フロースプリットを通じてトラフィックを形作る。 私たちは、最も広くデプロイされたHTTP、HTTP/2によって実現されるアプリケーション層防御に焦点を当てています。
  論文  参考訳（メタデータ） (2026-09-04T13:16:30Z)
• CDN Tsunami: Exploiting HTTP/3-HTTP/1.1 Conversion for DoS Attacks [39.862345027090534]
  本研究は,CDNに配備されたHTTP/3プロトコルに対するDoS攻撃に関する最初の研究である。 我々の重要な洞察は、CDNがHTTP/3を採用するが、ホストのWebサイトがHTTP/1.1を使用するとき、敵はCDNへの少量のトラフィックを増幅するためにこの格差を利用することができるということである。 我々は、Tranco Top 1Mドメインリスト上で大規模な測定を行い、これらの攻撃の実際の影響を定量化する。
  論文  参考訳（メタデータ） (2026-07-29T08:09:36Z)
• HyperSafe: Inference-Time Safety Recovery for Fine-Tuned Language Models [65.08794811632073]
  HyperSafeは、細調整されたチェックポイント毎にモデル固有のSafe Side Networkを生成することで、安全性の挙動を復元する。 モデル群であるQwen2-7BとLLaMA-3-8Bを複数の安全性ベンチマークで評価した。
  論文  参考訳（メタデータ） (2026-07-13T12:28:43Z)
• SST-Guard: Detecting and Characterizing Server-Side Google Analytics in the Wild [48.894149803432605]
  SST-Guardは,サーバサイドのGoogle Analytics(sGA)の検出とブロックを行うブラウザベースのシステムである。 SST-Guardは、任意のエンドポイントにこれらのセマンティック値のコレクションと共有の根底にあるアーティファクトを検出することを目的としている。 SST-Guard on Tranco top-10k Website, detected 4.02% (403) sGA domain with 93% accuracy across three modalities。
  論文  参考訳（メタデータ） (2026-04-30T06:50:14Z)
• HTTP Request Synchronization Defeats Discrepancy Attacks [6.113912479606383]
  我々は,HTTP Request Synchronization と呼ばれる,この問題に対処する最初の包括的防御手法を提案する。 提案方式では,標準HTTP拡張機構を用いて,各要求を完全な処理履歴で拡張する。 この履歴を使用することで、すべてのプロキシサーバは、処理が以前のホップすべてと一致していることを検証することができ、不一致攻撃を排除できる。
  論文  参考訳（メタデータ） (2025-10-11T01:42:38Z)
• Defending Against Prompt Injection With a Few DefensiveTokens [44.221727642687085]
  大規模言語モデル(LLM)システムは複雑なタスクを実行するために外部データと相互作用する。 システムによってアクセスされたデータに命令を注入することにより、攻撃者は攻撃者が指示する任意のタスクで初期ユーザタスクをオーバーライドすることができる。 システム開発者がフレキシブルな方法で必要な場合にのみセキュリティを確保するためには、例えば防御プロンプトのようなテストタイムディフェンスが提案されている。 トレーニング時の代替に匹敵するプロンプトインジェクションを備えたテストタイムディフェンスであるDefensiveTokenを提案する。
  論文  参考訳（メタデータ） (2025-07-10T17:51:05Z)
• Streamlining HTTP Flooding Attack Detection through Incremental Feature Selection [0.3277163122167433]
  本稿では,そのような攻撃を検知する手法を提案する。 INFS-MICCは、非常に関連性が高く独立した機能サブセットのサブセットを特定するのに役立つ。
  論文  参考訳（メタデータ） (2025-05-20T06:19:03Z)
• ChatHTTPFuzz: Large Language Model-Assisted IoT HTTP Fuzzing [18.095573835226787]
  Internet of Things(IoT)デバイスは、Webインターフェース、Web VPN、その他のWebベースのサービスを通じて利便性を提供し、すべてHTTPプロトコルに依存している。 最先端のツールの多くは依然としてランダムな突然変異戦略に依存しており、HTTPプロトコルの構造を正確に理解し、多くの無効なテストケースを生成するのが困難である。 本稿では,プロトコルフィールドを自動的に解析し,サービスコードロジックを解析してプロトコル準拠のテストケースを生成する,新たなLLM誘導型IoT HTTPファジリング手法ChatHTTPFuzzを提案する。
  論文  参考訳（メタデータ） (2024-11-18T10:48:53Z)
• Securing the Web: Analysis of HTTP Security Headers in Popular Global Websites [2.7039386580759666]
  調査対象のウェブサイトの半数以上(55.66%)は「F」という異常なセキュリティグレードを受けた。 これらの低いスコアは、コンテンツセキュリティポリシー(CSP)の弱い実装、HSTSガイドラインの無視、サブリソース統合(SRI)の不十分な適用など、複数の問題を露呈している。
  論文  参考訳（メタデータ） (2024-10-19T01:03:59Z)
• The HTTP Garden: Discovering Parsing Vulnerabilities in HTTP/1.1 Implementations by Differential Fuzzing of Request Streams [7.012240324005978]
  HTTP/1.1で不一致を解析することは、Webサーバに対する数多くの攻撃の基盤となっている。 我々のシステムであるHTTP Gardenは、元のサーバの解釈とHTTPリクエストのゲートウェイサーバの変換の両方を調べます。 私たちのツールを使って、人気のあるWebサーバで100以上のHTTPパースバグを発見し、報告しました。
  論文  参考訳（メタデータ） (2024-05-28T01:48:05Z)
• EmInspector: Combating Backdoor Attacks in Federated Self-Supervised Learning Through Embedding Inspection [53.25863925815954]
  フェデレートされた自己教師付き学習(FSSL)は、クライアントの膨大な量の未ラベルデータの利用を可能にする、有望なパラダイムとして登場した。 FSSLはアドバンテージを提供するが、バックドア攻撃に対する感受性は調査されていない。 ローカルモデルの埋め込み空間を検査し,悪意のあるクライアントを検知する埋め込み検査器(EmInspector)を提案する。
  論文  参考訳（メタデータ） (2024-05-21T06:14:49Z)
• Model Supply Chain Poisoning: Backdooring Pre-trained Models via Embedding Indistinguishability [61.549465258257115]
  そこで我々は,PTMに埋め込まれたバックドアをモデルサプライチェーンに効率的に移動させる,新しい,より厳しいバックドア攻撃であるTransTrojを提案する。 実験の結果,本手法はSOTAタスク非依存のバックドア攻撃より有意に優れていた。
  論文  参考訳（メタデータ） (2024-01-29T04:35:48Z)
• An Embarrassingly Simple Backdoor Attack on Self-supervised Learning [52.28670953101126]
  自己教師付き学習(SSL)は、ラベルに頼ることなく、複雑なデータの高品質な表現を学習することができる。 SSLのバックドア攻撃に対する脆弱性について検討する。
  論文  参考訳（メタデータ） (2022-10-13T20:39:21Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。