Can you summarize the following document?
        
  HSTS的作用是強制客戶端(如瀏覽器)使用HTTPS與伺服器建立連線。伺服器開啟HSTS的方法是,當客戶端通過HTTPS發出請求時,在伺服器返回的超文字傳輸協議(HTTP)響應頭中包含codice_1欄位。非加密傳輸時設定的HSTS欄位無效。  比如,<nowiki>https://example.com/</nowiki> 的響應頭含有codice_2。這意味著兩點:

  HSTS的雛形來自於2008年4月在北京召開的第十七屆國際全球資訊網大會上柯林·傑克遜(英語:Collin Jackson)和亞當·巴斯(英語:Adam Barth)的題為“ForceHTTPS: Protecting High-Security Web Sites from Network Attacks”的演講。他們的提議是使用“ForceHTTPS” Cookie來強制瀏覽器使用HTTPS。  2009年9月18日,他們和傑夫·霍奇斯(英語:Jeff Hodges)釋出了最初的草案,題目為"Strict Transport Security",這個草案基於ForceHTTPS,並有所修改。  2010年6月17日,這三位作者經由網際網路工程任務組釋出了首版網際網路草案,"HTTP Strict Transport Security"。  2012年10月2日,網際網路工程指導組批准了將第14版HSTS草案發布為RFC的請求。  2012年11月19日,網際網路工程任務組釋出RFC 6797。

  HSTS可以用來抵禦SSL剝離攻擊。SSL剝離攻擊是中間人攻擊的一種,由Moxie Marlinspike於2009年發明。他在當年的黑帽大會上發表的題為“New Tricks For Defeating SSL In Practice”的演講中將這種攻擊方式公開。SSL剝離的實施方法是阻止瀏覽器與伺服器建立HTTPS連線。它的前提是使用者很少直接在位址列輸入codice_3,使用者總是通過點選連結或3xx重定向,從HTTP頁面進入HTTPS頁面。所以攻擊者可以在使用者訪問HTTP頁面時替換所有codice_3開頭的連結為codice_5,達到阻止HTTPS的目的。  HSTS可以很大程度上解決SSL剝離攻擊,因為只要瀏覽器曾經與伺服器建立過一次安全連線,之後瀏覽器會強制使用HTTPS,即使連結被換成了HTTP。  另外,如果中間人使用自己的自簽名證書來進行攻擊,瀏覽器會給出警告,但是許多使用者會忽略警告。HSTS解決了這一問題,一旦伺服器傳送了HSTS欄位,將不再允許使用者忽略警告。

  使用者首次訪問某網站是不受HSTS保護的。這是因為首次訪問時,瀏覽器還未收到HSTS,所以仍有可能通過明文HTTP來訪問。解決這個不足目前有兩種方案,一是瀏覽器預置HSTS域名列表,Google Chrome、Firefox、Internet Explorer和Microsoft Edge實現了這一方案。二是將HSTS資訊加入到域名系統記錄中。但這需要保證DNS的安全性,也就是需要部署域名系統安全擴充套件。截至2016年這一方案沒有大規模部署。  由於HSTS會在一定時間後失效(有效期由max-age指定),所以瀏覽器是否強制HSTS策略取決於當前系統時間。部分作業系統經常通過網路時間協議更新系統時間,如Ubuntu每次連線網路時、OS X Lion每隔9分鐘會自動連線時間伺服器。攻擊者可以通過偽造NTP資訊,設定錯誤時間來繞過HSTS。解決方法是認證NTP資訊,或者禁止NTP大幅度增減時間。比如Windows 8每7天更新一次時間,並且要求每次NTP設定的時間與當前時間不得超過15小時。

  根據SSL Pulse的調查,截至2015年2月,僅有2.7%的網站開啟了HSTS。目前支援HSTS的主流網站有:支付寶、PayPal、Twitter、維基百科郵件列表等。
HTTP嚴格傳輸安全(,縮寫:HSTS)是一套由網際網路工程任務組釋出的網際網路安全策略機制。網站可以選擇使用HSTS策略,來讓瀏覽器強制使用HTTPS與網站進行通訊,以減少會話劫持風險。