我們收集並造訪了兩個不同的網域和網頁來源：Alexa 前百萬網域和 Shodan。這些結果來自 2016 年 11 月的搜尋。從這些網域中，我們限制了搜索，以便能夠確定哪些網域在 HTTP 或 HTTPS 上使用 HSTS 或 HPKP，甚至哪些網域使用不同的標頭配置。我們不僅試圖確定實施的數量，還試圖確定實施的「品質」。
只有 0.02% 的最受歡迎的領域正在
以最佳方式實施 HPKP ，只有 0.74% 的域正在使用 HSTS。甚至 Whatsapp.com 或 Facebook.com 也存在一些錯誤。
我們現在展示該報告的一些摘錄，您可以在此處找到。
針數
實施 HPKP 時，重要的是要考慮所需的引腳數量。儘管建議值使用 3 到 4 個引腳，但某些域 南非電子郵件列表 僅使用 1 個引腳（違反 RFC），最多使用 17 個引腳，這似乎是一種降低效率的不規則現象。關於 Alexa 前百萬個域名，450 個域名中有 282 個使用 2 或 3 個引腳，這是正確的。 89 (19.8%) 使用零或僅使用一，從瀏覽器的角度來看這是無用的，因為它會忽略它。
使用 HPKP 的前 100 萬個 Alexa 域提供的 pin 數量。
固定哪個證書
使用 HPKP 時，選擇正確
的憑證進行固定可能是
個重要的決定。管理員可以使用鏈中的任何引腳（根、中間或葉），但從管理員和使用者安全的角度來看，此決定可能會直接影響其可用性和安全性。安全性和維護之間需要權衡。
固定根的安全性較低
但管理員可以更輕鬆地處理 HPKP。這意味著，只要管理員不更改其 CA 提供者，就不需要進 日本數據 行額外的更改，因此所需的維護較少。但是，另一方面，如果攻擊者從相同 CA 取得假證書，瀏覽器將無法偵測到差異，因為根保持不變。
最好的選擇攻擊者應
該從同一個 subCA 取得憑證才能進行「完美」攻擊。另一方面，管理員可以更改其葉證書，只要它來自同一子 CA，無需更改 pin 的額外費用。
用別針固定葉子是最安全的方法，但也是最「危險」的方法。如果憑證過期或因某種原 日本電子郵件清單範例 因憑證發生變更（更具體地說，公鑰），即使由同一 CA 或子 CA 頒發，管理員也必須修改其 PIN 碼或使用備份 PIN 碼。另一方面，攻擊者可能無法建立有效的憑證（除非私鑰被盜）來創建處於中間「完美」場景的人。
因此，我們檢查了管理員固定的證書，
這就是我們發現的
他們中的大多數（73.65%）使用中級證書進行pin。
使用 HPKP 將憑證固定在前一百萬個 Alexa 網域的信任鏈中。
引腳重複使用
在不同域之間重複使用引腳根本不是無效的做法。考慮到 HPKP 中使用的大多數引腳都是來自子 CA 的「中間」引腳，因此在域之間共享一些引腳甚至是絕對正常的。但這個過程會帶來一點風險。因此，從攻擊者的角度來看，知道哪些子 CA 甚至 CA 被固定可能允許為該域規劃特定的 APT。例如，如果一個網域使用特定的子CA 頒發其中間證書並固定該中間證書，則獲得從同一子CA 頒發的該域的流氓葉證書的攻擊者仍然會遇到完美的MiTM 情況，因為瀏覽器不會顯示任何警告訊息。因此，從攻擊者的角度來看，如果他們能夠確定某個網域是否固定其中間證書，並且進一步確定哪一個是固定的子 CA，則可以讓他更了解目標是誰。此外，如果攻擊者想要最大化其範圍，他會嘗試取得由這個「流行」子 CA 簽署的流氓憑證。
下圖表示哪些憑證（及其 pin）與更多網域固定。這些是最受關注的前 25 張證書。由於協定只允許知道 PIN 而不是憑證本身，因此有必要「取消雜湊」憑證。我們收集了數百萬個憑證並對它們進行哈希處理，以將其與與域相關的 pin 進行比較。結果顯示來自 Comodo 的中間憑證如何成為最受固定的憑證 (klO23nT2ehFDXCfx3eHTDRESMz3asj1muO+4aIdjiuY=)。它固定了 Alexa 和 Shodan 的 40 個不同的領域。