没有执行机制的政策？加拿大公共部门网站的网页安全状况

《Computers & Security》：Policy without enforcement? Web security posture of Canadian public-sector websites

　　摘要
公共部门网站作为通往重要政府服务的高风险入口，需要超出基本HTTPS标准的多层安全控制。我们进行了一项大规模测量研究，评估了375个加拿大公共部门网站的网络安全状况。我们评估了传输层保护措施、浏览器强制执行的安全策略以及不同监管体系下的信息管理。为了评估治理模式的影响，我们将加拿大联邦政府网站与基于建议的省级实体、经过正式审计的美国机构以及受市场监管的关键基础设施行业（金融、教育和能源）进行了对比。研究结果表明，在防御深度方面存在系统性疏忽。尽管基本的传输层加密已得到广泛采用，但加拿大联邦政府的HSTS部署频率远低于美国联邦政府，TLS 1.3的协商频率也低于所有对比组。这些差距在应用层尤为明显，因为现代浏览器策略（如CSP框架限制、Permissions-Policy）和加固的会话cookie很少得到实施，导致基础设施细节容易被攻击者获取。

关键的是，我们发现了一个违反直觉的现象：受严格强制性规定约束的加拿大联邦网站在TLS 1.3等现代控制措施上的表现显著低于基于建议的省级实体。虽然联邦网站在HSTS的采用率上较高（尽管统计上不显著），但在应用层加固方面落后于后者，并且在操作透明度方面同样不足。总体而言，加拿大公共部门在配置驱动的控制措施上低于美国政府和关键基础设施行业。这些发现表明，自上而下的政策执行力并不能自动保证更优秀的技术水平，突显了行政命令与实际网络安全操作之间的持续差距。

引言
公共部门网站是所有年龄和设备用户（包括通过图书馆和社区中心等公共网络连接的用户）获取重要政府服务的可信入口。由于这些平台经常处理具有法律、财务和个人影响的高风险交互，其安全状况直接影响公众信任、个人安全以及关键政府服务的连续性（Ribeiro等人，2025年）。随着政府越来越多地通过数字渠道提供服务，这些网站的安全配置已成为公众关注和问责的重点。

现代网络服务的安全状况由多种相互关联的控制层决定。虽然HTTPS提供了基本的加密功能，但深度防御还需要一系列符合标准的机制，包括传输层和源站点范围的配置（如HTTP严格传输安全（HSTS）和现代TLS部署），以及端点范围的浏览器策略（如内容安全策略）和加固的cookie属性（Hodges等人，2012年；Rescorla，2018年；Barker和Davidson，2019年；OWASP基金会，2024a年；Mozilla开发者网络，2024a年；Mozilla开发者网络，2025年；OWASP基金会，2024d年）。此外，全面的安全状态还需要通过security.txt等标准化披露渠道实现操作透明度，并严格限制可能泄露实现细节的侦察面（Foudil和Shafranovich，2022年；OWASP基金会，2024c年）。区分源站点范围（传输层）和端点范围（应用层）的控制措施对于准确反映用户重定向后的安全体验以及评估整个保护栈至关重要（Durumeric等人，2024年；Felt等人，2017年）。这些控制措施必须协同工作，从网络边缘到应用层提供深度防御。

在加拿大，公共部门的网络治理分为两种不同的体系。核心公共行政部门的各部和机构遵循加拿大财政部秘书处（TBS）制定的强制政策，包括《服务和数字政策》、《服务和数字指令》以及《网站和服务管理配置要求》（加拿大财政部秘书处，2020b年；加拿大财政部秘书处，2020a年；加拿大政府，2024年）。相比之下，更广泛的公共部门（BPS）包括省政府和地区政府、市政当局及其他公共机构，主要遵循加拿大网络安全中心（CCCS）的建议框架（加拿大网络安全中心，2025a年；加拿大网络安全中心，2025b年；加拿大政府，2025c年）。

鉴于网络安全对公共数字基础设施的关键性，以及这两种不同的监管方法，一个核心研究问题是：加拿大公共部门网站在多大程度上实施了当前的最佳实践网络安全控制，严格的联邦配置命令相对于基于建议的BPS群体的效果如何？此外，它们的配置与美国在严格审计要求下运行的联邦机构相比如何，又如何与在金融和声誉压力下运行的国内及美国关键基础设施行业（金融、教育和能源）相比较？另外，由于英国在其统一的GOV.UK平台架构下对公共网络存在的高度整合（Government Digital Service，2024年；Government Digital Service，2016年），该国也被纳入了案例研究范围。

本文通过一项大规模、符合标准且非侵入性的测量研究来回答这些问题。我们收集了375个加拿大公共部门网站的数据，并开发了一个自动化扫描工具，分别评估了源站点范围的传输控制（HTTPS实施、TLS配置和HSTS）和端点范围的浏览器保护（安全头部、cookie属性、通过security.txt的披露准备情况以及信息泄露面），反映了用户实际的重定向后安全体验。结果与来自加拿大/美国关键行业（金融、教育和能源）和美国机构（主要的公共部门对比组）的数据进行了对比。

研究发现，基础传输保护措施得到了广泛采用，但分布不平衡：只有59.73%的加拿大网站部署了HSTS，TLS 1.3的协商也落后于同类网站。在应用层，深度防御最为薄弱：现代策略头部（CSP框架祖先、Permissions-Policy）和加固的cookie默认设置很少被采用，只有1.1%的网站发布了security.txt文件。加拿大公共部门在几个低成本、配置驱动的控制措施上表现不及国内和美国的关键行业，反映出在强制性和建议性框架下政策执行和监督的不一致性。

本文的其余部分组织如下：第2节回顾了公共部门网络安全测量的背景材料和相关工作；第3节详细介绍了研究设计，包括数据集构建、符合标准的评估框架、测量单元、扫描工具实现和验证程序；第4节展示了传输层保护、应用层加固、披露准备情况和信息管理的实证发现；第5节解释了结果，讨论了对运营者和政策制定者的影响，并概述了研究的局限性；最后，第6节总结了本文并提出了未来研究的方向。

网络安全控制的技术背景
现代网络服务的安全状况是由多个相互作用的控制层共同提供的深度防御的结果。在本文中，我们将这些控制措施分为三个功能领域，直接对应于我们进行的测量：传输层安全、应用层加固以及操作透明度和信息管理。

方法论
本节描述了我们的测量方法。首先详细介绍了加拿大和美国公共部门及关键行业网站的数据集构建过程，然后明确了源站点范围与端点范围的区分以及我们评估的四个功能领域，描述了扫描工具的实现和验证程序，最后介绍了我们的分析方法。

结果
本节展示了所有数据集的测量结果。首先描述了可达性和重定向解决结果，以确定分析中使用的有效分母。接着报告了源站点范围的传输层安全状况，然后是端点范围的浏览器策略和cookie加固结果。接下来展示了操作准备情况和信息管理发现。最后通过英国中央政府的案例研究总结了结果。

主要发现
测量研究表明，虽然存在网络安全政策，但加拿大公共部门网站的实际配置存在持续差距。基础传输保护措施得到了相对较高的采用率，但提供有效深度防御的先进配置控制措施仍实施不一致。这种模式在强制性的联邦命令和基于建议的BPS框架中均存在。

结论
本研究测量了加拿大公共部门在传输层和应用层的网络安全状况，并将结果与美国联邦政府及加拿大和美国的关键行业进行了对比。研究发现，虽然基本加密已成为标准，但实现深度防御所需的额外控制措施仍然部署不足且分布不均。在加拿大，受强制性命令约束的联邦政府在CRediT作者贡献声明中，Isaac Latta负责写作——原始草案、软件、方法论、调查、正式分析、数据整理；Sina Keshvadi负责写作——审稿和编辑、验证、监督、资源管理、项目管理、方法论、资金获取、正式分析、概念化。

伦理声明
所有测量设计均为非侵入性和配置导向。扫描工具仅发送标准的HTTP(S) GET请求，执行协议握手并在有限深度内处理重定向。该研究评估了外部可观察到的配置状态和信息泄露面，不试图验证漏洞利用性或访问非公开资源。我们没有进行身份验证、提交表格、发送会改变状态的请求（如POST），也没有尝试获取任何资源。

资金支持
本研究得到了CSA集团本科生研究奖学金的支持。

利益冲突声明
作者声明没有已知的财务利益冲突或可能影响本文工作的个人关系。

致谢
我们感谢CSA集团本科生研究奖学金的支持，并感谢CSA集团工作人员在项目期间的指导。

Isaac Latta | Sina Keshvadi
汤普森河大学，805 TRU Way, Kamloops, British Columbia, V2C 0C8, Canada