HSTS indique juste au navigateur client qu'il doit utiliser la version HTTPS du site, pour une certaine durée, il n'y a pas d'information de clé.
Pas de notion de clé, mais une attaque MITM peut remplacer la version HTTP par ce qu'il veut. C'est moins grave que pour une clé parce que l'attaque est visible (l'URL reste en http://, pas de cadenas dans la barre d'URL, ...), mais pour un utilisateur peu attentif ou peu compétent, il y a pas mal de dégâts à faire au moment de la première utilisation.
Après, c'est pas pire que rien du tout : un serveur qui ne répond pas sur le port 80 pourrait se faire attaquer de la même manière qu'un HSTS.
[^] # Re: Totalement broken sans authentification de clé
Posté par Matthieu Moy (site web personnel) . En réponse au journal Autocrypt. Évalué à 2.
Pas de notion de clé, mais une attaque MITM peut remplacer la version HTTP par ce qu'il veut. C'est moins grave que pour une clé parce que l'attaque est visible (l'URL reste en
http://, pas de cadenas dans la barre d'URL, ...), mais pour un utilisateur peu attentif ou peu compétent, il y a pas mal de dégâts à faire au moment de la première utilisation.Après, c'est pas pire que rien du tout : un serveur qui ne répond pas sur le port 80 pourrait se faire attaquer de la même manière qu'un HSTS.