Il aura fallu attendre Windows 10 pour qu'Internet Explorer supporte enfin le mécanisme de sécurité HSTS. Cette fonctionnalité « http Strict Transport Security » peut être testée sur IE dans la Technical Preview de Windows 10. Elle sera ultérieurement ajoutée au projet de navigateur Spartan, explique Microsoft dans un billet. Google l'avait pris en compte dans Chrome dès 2009, Firefox en 2010, Opera en 2012 et Safari en 2013. Internet Explorer est donc le dernier navigateur important à supporter HSTS, et cela ne concerne même pas toutes les versions...

Le mécanisme HSTS établi par l'IETF a été conçu pour se prémunir des attaques « SSL stripping » dans lesquelles les pirates interceptent le flux d'un utilisateur pour dégrader sa connexion https, qui comporte un chiffrement SSL, vers une simple connexion http. Ce type d'attaque est facile à réaliser. On intercepte la requête d'un utilisateur vers un site https et on la bloque. Puis on établit une connexion chiffrée avec le site lui-même, pour le compte de la victime, et on retourne à celle-ci les réponses sur une connexion http. A ce stade, le site web ne se rend pas compte que quelque chose cloche parce que, de son côté, il voit une connexion chiffrée venant d'un utilisateur. Il s'agit en fait de celle du hacker qui joue un rôle de proxy.

Les internautes, eux, ne voient plus l'indicateur https dans leur barre d'adresse, ni l'icône de verrouillage, mais la plupart d'entre eux ne vont pas vérifier ces éléments une deuxième fois. L'attaquant attend donc que la première requête s'effectue puis il dégrade la connexion. HSTS règle ce problème en permettant aux sites de signaler aux navigateurs qu'ils doivent toujours se connecter via https. Cette exigence est communiquée par l'intermédiaire d'un en-tête envoyé dans une réponse. Une fois que le navigateur voit cet en-tête pour un site, il se souviendra de cette préférence et, dès lors, n'acceptera que les connexions https pour ce site. 

Une liste préchargée des sites les plus populaires

Comme les autres navigateurs, IE sera fourni avec la liste des sites les plus populaires pour lesquels la politique HSTS sera mise en place par défaut. Ces listes sont nécessaires parce qu'il reste toujours une possibilité d'attaque SSL lors de la toute première requête envoyée. De fait, pour connaître la politique HSTS d'un site, le navigateur doit d'abord s'y connecter. Mais si un attaquant se tient prêt à intercepter le trafic, il peut immédiatement enlever l'en-tête Strict-Transport-Security de la réponse faite par le site et le navigateur n'en saura jamais rien. Internet Explorer utilisera la même liste préchargée utilisée par le navigateur Open Source Chromium. Les sites peuvent s'y enregistrer. 

Ce mécanisme de sécurité peut avoir un impact sur la navigation. Par exemple, dans certains cas, IE autorise les utilisateurs à ne pas tenir compte de certaines erreurs de certificats pour forcer l'ouverture d'un site. Si ce genre d'erreurs se produit avec un site HSTS, ils ne pourront plus le faire. La connexion sera refusée. De la même façon, certains sites utilisant https pourront aussi charger des contenus tiers via une connexion http.