微软推送的Win10专业版累积更新：自己无法访问特定网站

微软本周推送的windows 10累积更新有个针对英国的选项，即将英国政府网站域名开启严格传输保护模式。

所谓严格传输保护模式即用户访问时自动启用 HTTPS 访问 , 这项策略原本是用来避免潜在劫持等安全问题。

按理说微软将英国政府网站专用顶级域GOV.UK应该事先做过沟通， 不过似乎微软与英国的沟通有些小障碍。

部分网站压根没配置HTTPS访问：

这次累积更新发布后部分英国用户发现自己无法访问特定网站 , 因为这些网站其实并没有配置 HTTPS 访问。

所以用户使用IE或者Microsoft Edge访问时肯定无法打开 , 而用户也无法手动关闭HSTS严格传输保护模式。

这是微软在windows 10中内置的策略因此也只有微软能解决，微软发布公告表示已经在制定方案解决问题。

令人惊奇的是按理说将顶级域加入保护列表应该是英国政府要求的，微软本身不大可能未经调查就直接修改。

所以看起来双方的沟通肯定存在问题，英国政府机构可能没有调查自己的所有域名到底有没有完成加密部署。

什么是HSTS严格传输保护：

我们知道通常部署HTTPS的网站会将HTTP请求重定向到HTTPS，然后让用户采用加密模式保护用户的访问。

然而在重定向开始之前是HTTP请求因此攻击者可以进行劫持 , 于是业界推出HSTS严格传输用来规避该情形。

HSTS主要是向浏览器声明网站支持HTTPS，所以用户初次访问后浏览器并会记住并在下次访问直接HTTPS。

微软的做法主要是将特定网站直接加入HSTS列表，这样不论用户是否是初次访问都一定使用HTTPS来加密。