搜索

[23749] 2015-04-01_HTTPS的七个误解

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2015-04-01_HTTPS的七个误解 H T T P S 的 七 个 误 解 L i n u x 中 国   2 0 1 5 - 0 4 - 0 1 误 解 七 ： H T T P S 无 法 缓 存 许 多 人 以 为 ， 出 于 安 全 考 虑 ， 浏 览 器 不 会 在 本 地 保 存 H T T P S 缓 存 。 实 际 上 ， 只 要 在 H T T P 头 中 使 用 特 定 命 令 ， H T T P S 是 可 以 缓 存 的 。 微 软 的 I E 项 目 经 理 E r i c   L a w r e n c e 写 道 ： " 说 来 也 许 令 人 震 惊 ， 只 要 H T T P 头 允 许 这 样 做 ， 所 有 版 本 的 I E 都 缓 存 H T T P S 内 容 。 比 如 ， 如 果 头 命 令 是 C a c h e - C o n t r o l :   m a x - a g e = 6 0 0 ， 那 么 这 个 网 页 就 将 被 I E 缓 存 1 0 分 钟 。 I E 的 缓 存 策 略 ， 与 是 否 使 用 H T T P S 协 议 无 关 。 （ 其 他 浏 览 器 在 这 方 面 的 行 为 不 一 致 ， 取 决 于 你 使 用 的 版 本 ， 所 以 这 里 不 加 以 讨 论 。 ） " F i r e f o x 默 认 只 在 内 存 中 缓 存 H T T P S 。 但 是 ， 只 要 头 命 令 中 有 C a c h e - C o n t r o l :   P u b l i c ， 缓 存 就 会 被 写 到 硬 盘 上 。 下 面 的 图 片 显 示 ， F i r e f o x 的 硬 盘 缓 存 中 有 H T T P S 内 容 ， 头 命 令 正 是 C a c h e - C o n t r o l : P u b l i c 。
误 解 六 ： S S L 证 书 很 贵 如 果 你 在 网 上 搜 一 下 ， 就 会 发 现 很 多 便 宜 的 S S L 证 书 ， 大 概 1 0 美 元 一 年 ， 这 和 一 个 . c o m 域 名 的 年 费 差 不 多 。 而 且 事 实 上 ， 还 能 找 到 免 费 的 S S L 证 书 。 在 效 力 上 ， 便 宜 的 证 书 当 然 会 比 大 机 构 颁 发 的 证 书 差 一 点 ， 但 是 几 乎 所 有 的 主 流 浏 览 器 都 接 受 这 些 证 书 。 误 解 五 ： H T T P S 站 点 必 须 有 独 享 的 I P 地 址 由 于 I P v 4 将 要 分 配 完 毕 ， 所 以 很 多 人 关 心 这 个 问 题 。 每 个 I P 地 址 只 能 安 装 一 张 S S L 证 书 ， 这 是 毫 无 疑 问 的 。 但 是 ， 如 果 你 使 用 子 域 名 通 配 符 S S L 证 书 （ w i l d c a r d   S S L   c e r t i f i c a t e ， 价 格 大 约 是 每 年 1 2 5 美 元 ） ， 就 能 在 一 个 I P 地 址 上 部 署 多 个 H T T P S 子 域 名 。 比 如 ， h t t p s : / / w w w . h t t p w a t c h . c o m 和 h t t p s : / / s t o r e . h t t p w a t c h . c o m ， 就 共 享 同 一 个 I P 地 址 。
另 外 ， U C C （ 统 一 通 信 证 书 ， U n i f i e d   C o m m u n i c a t i o n s   C e r t i f i c a t e ） 支 持 一 张 证 书 同 时 匹 配 多 个 站 点 ， 可 以 是 完 全 不 同 的 域 名 。 S N I （ 服 务 器 名 称 指 示 ， S e r v e r   N a m e   I n d i c a t i o n ） 允 许 一 个 I P 地 址 上 多 个 域 名 安 装 多 张 证 书 。 服 务 器 端 ， A p a c h e 和 N g i n x 支 持 该 技 术 ， I I S 不 支 持 ； 客 户 端 ， I E 7 + 、 F i r e f o x   2 . 0 + 、 C h r o m e   6 + 、 S a f a r i   2 . 1 + 和 O p e r a   8 . 0 + 支 持 。 误 解 四 ： 转 移 服 务 器 时 要 购 买 新 证 书 部 署 S S L 证 书 ， 需 要 这 样 几 步 ： 　 　 1 .   在 你 的 服 务 器 上 ， 生 成 一 个 C S R 文 件 （ S S L 证 书 请 求 文 件 ， S S L   C e r t i f i c a t e   S i g n i n g   R e q u e s t ） 。 　 　 2 .   使 用 C S R 文 件 ， 购 买 S S L 证 书 。 　 　 3 .   安 装 S S L 证 书 。 这 些 步 骤 都 经 过 精 心 设 计 ， 保 证 传 输 的 安 全 ， 防 止 有 人 截 取 或 非 法 获 得 证 书 。 结 果 就 是 ， 你 在 第 二 步 得 到 的 证 书 不 能 用 在 另 一 台 服 务 器 上 。 如 果 你 需 要 这 样 做 ， 就 必 须 以 其 他 格 式 输 出 证 书 。 比 如 ， I I S 的 做 法 是 生 成 一 个 可 以 转 移 的 . p f x 文 件 ， 并 加 以 密 码 保 护 。
将 这 个 文 件 传 入 其 他 服 务 器 ， 将 可 以 继 续 使 用 原 来 的 S S L 证 书 了 。 误 解 三 ： H T T P S 太 慢 使 用 H T T P S 不 会 使 你 的 网 站 变 得 更 快 （ 实 际 上 有 可 能 ， 请 看 下 文 ） ， 但 是 有 一 些 技 巧 可 以 大 大 减 少 额 外 开 销 。 首 先 ， 只 要 压 缩 文 本 内 容 ， 就 会 降 低 解 码 耗 用 的 C P U 资 源 。 不 过 ， 对 于 当 代 C P U 来 说 ， 这 点 开 销 不 值 一 提 。 其 次 ， 建 立 H T T P S 连 接 ， 要 求 额 外 的 T C P 往 返 ， 因 此 会 新 增 一 些 发 送 和 接 收 的 字 节 。 但 是 ， 从 下 图 可 以 看 到 ， 新 增 的 字 节 是 很 少 的 。 第 一 次 打 开 网 页 的 时 候 ， H T T P S 协 议 会 比 H T T P 协 议 慢 一 点 ， 这 是 因 为 读 取 和 验 证 S S L 证 书 的 时 间 。 下 面 是 一 张 H T T P 网 页 打 开 时 间 的 瀑 布 图 。
同 一 张 网 页 使 用 H T T P S 协 议 之 后 ， 打 开 时 间 变 长 了 。 建 立 连 接 的 部 分 ， 大 约 慢 了 1 0 % 。 但 是 ， 一 旦 有 效 的 H T T P S 连 接 建 立 起 来 ， 再 刷 新 网 页 ， 两 种 协 议 几 乎 没 有 区 别 。 先 是 H T T P 协 议 的 刷 新 表 现 ： 然 后 是 H T T P S 协 议 ：
某 些 用 户 可 能 发 现 ， H T T P S 比 H T T P 更 快 一 点 。 这 会 发 生 在 一 些 大 公 司 的 内 部 局 域 网 ， 因 为 通 常 情 况 下 ， 公 司 的 网 关 会 截 取 并 分 析 所 有 的 网 络 通 信 。 但 是 ， 当 它 遇 到 H T T P S 连 接 时 ， 它 就 只 能 直 接 放 行 ， 因 为 H T T P S 无 法 被 解 读 。 正 是 因 为 少 了 这 个 解 读 的 过 程 ， 所 以 H T T P S 变 得 比 较 快 。 误 解 二 ： 有 了 H T T P S ， C o o k i e 和 查 询 字 符 串 就 安 全 了 虽 然 无 法 直 接 从 H T T P S 数 据 中 读 取 C o o k i e 和 查 询 字 符 串 ， 但 是 你 仍 然 需 要 使 它 们 的 值 变 得 难 以 预 测 。 比 如 ， 曾 经 有 一 家 英 国 银 行 ， 直 接 使 用 顺 序 排 列 的 数 值 表 示 s e s s i o n   i d : 黑 客 可 以 先 注 册 一 个 账 户 ， 找 到 这 个 c o o k i e ， 看 到 这 个 值 的 表 示 方 法 。 然 后 ， 改 动 c o o k i e ， 从 而 劫 持 其 他 人 的 s e s s i o n   i d 。 至 于 查 询 字 符 串 ， 也 可 以 通 过 类 似 方 式 泄 漏 。 误 解 一 ： 只 有 注 册 登 录 页 ， 才 需 要 H T T P S 这 种 想 法 很 普 遍 。 人 们 觉 得 ， H T T P S 可 以 保 护 用 户 的 密 码 ， 此 外 就 不 需 要 了 。 F i r e f o x 浏 览 器 新 插 件 F i r e s h e e p ， 证 明 了 这 种 想 法 是 错 的 。 我 们 可 以 看 到 ， 在 T w i t t e r 和 F a c e b o o k 上 ， 劫 持 其 他 人 的 s e s s i o n 是 非 常 容 易 的 。 咖 啡 馆 的 免 费 W i F i ， 就 是 一 个 很 理 想 的 劫 持 环 境 ， 因 为 两 个 原 因 ： 　 　 1 .   这 种 W i F i 通 常 不 会 加 密 ， 所 以 很 容 易 监 控 所 有 流 量 。 　 　 2 .   W i F i 通 常 使 用 N A T 进 行 外 网 和 内 网 的 地 址 转 换 ， 所 有 内 网 客 户 端 都 共 享 一 个 外 网 地 址 。 这 意 味 着 ， 被 劫 持 的 s e s s i o n ， 看 上 去 很 像 来 自 原 来 的 登 录 者 。 以 T w i t t e r 为 例 ， 它 的 登 录 页 使 用 了 H T T P S ， 但 是 登 录 以 后 ， 其 他 页 面 就 变 成 了 H T T P 。 这 时 ， 它 的 c o o k i e 里 的 s e s s i o n 值 就 暴 露 了 。
原 文 ： h t t p : / / b l o g . h t t p w a t c h . c o m / 2 0 1 1 / 0 1 / 2 8 / t o p - 7 - m y t h s - a b o u t - h t t p s / 译 文 ： h t t p : / / w w w . r u a n y i f e n g . c o m / b l o g / 2 0 1 1 / 0 2 / s e v e n _ m y t h s _ a b o u t _ h t t p s . h t m l 译 者 ：   阮 一 峰 也 就 是 说 ， 这 些 c o o k i e 是 在 H T T P S 环 境 下 建 立 的 ， 但 是 却 在 H T T P 环 境 下 传 输 。 如 果 有 人 劫 持 到 这 些 c o o k i e ， 那 他 就 能 以 你 的 身 份 在 T w i t t e r 上 发 言 了 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理