搜索

[24504] 2015-12-12_跑步进入全站HTTPS，这些经验值得你看看

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2015-12-12_跑步进入全站HTTPS，这些经验值得你看看 参 考 原 文 ： h t t p s : / / i m q u q u . c o m / p o s t / s t h - a b o u t - s w i t c h - t o - h t t p s . h t m l 作 者 ：   J e r r y   Q u 跑 步 进 入 全 站   H T T P S   ， 这 些 经 验 值 得 你 看 看 J e r r y   Q u   L i n u x 中 国   2 0 1 5 - 1 2 - 1 2 随 着 国 内 网 络 环 境 的 持 续 恶 化 ， 各 种 篡 改 和 劫 持 层 出 不 穷 ， 越 来 越 多 的 网 站 选 择 了 全 站   H T T P S 。 就 在 前 几 天 ， 免 费 提 供 证 书 服 务 的   L e t ' s E n c r y p t   项 目 也 正 式 开 放 测 试 ， H T T P S   很 快 就 会 成 为   W E B   必 选 项 。 H T T P S   通 过   T L S   层 和 证 书 机 制 提 供 了 内 容 加 密 、 身 份 认 证 和 数 据 完 整 性 三 大 功 能 ， 可 以 有 效 防 止 数 据 被 查 看 或 篡 改 ， 以 及 防 止 中 间 人 冒 充 。 本 文 分 享 一 些 启 用   H T T P S   过 程 中 的 经 验 ， 重 点 是 如 何 与 一 些 新 出 的 安 全 规 范 配 合 使 用 。 至 于   H T T P S   的 部 署 及 优 化 ， 之 前 写 过 很 多 ， 本 文 不 重 复 了 。 理 解   M i x e d   C o n t e n t H T T P S   网 页 中 加 载 的   H T T P   资 源 被 称 之 为 M i x e d   C o n t e n t 混 合 内 容 ， 不 同 浏 览 器 对 混 合 内 容 有 不 一 样 的 处 理 规 则 。 早 期 的 早 期 的   I E 早 期 的   I E   在 发 现 混 合 内 容 请 求 时 ， 会 弹 出 「 是 否 只 查 看 安 全 传 送 的 网 页 内 容 ？ 」 这 样 一 个 模 态 对 话 框 ， 一 旦 用 户 选 择 「 是 」 ， 所 有 混 合 内 容 资 源 都 不 会 加 载 ； 选 择 「 否 」 ， 所 有 资 源 都 加 载 。 比 较 新 的 比 较 新 的   I E 比 较 新 的   I E   将 模 态 对 话 框 改 为 页 面 底 部 的 提 示 条 ， 没 有 之 前 那 么 干 扰 用 户 。 而 且 默 认 会 加 载 图 片 类 混 合 内 容 ， 其 它 如   J a v a S c r i p t 、 C S S   等 资 源 还 是 会 根 据 用 户 选 择 来 决 定 是 否 加 载 。 现 代 浏 览 器 现 代 浏 览 器 现 代 浏 览 器 （ C h r o m e 、 F i r e f o x 、 S a f a r i 、 M i c r o s o f t   E d g e ） ， 基 本 上 都 遵 守 了   W 3 C   的 M i x e d   C o n t e n t 混 合 内 容 规 范 ， 将 混 合 内 容 分 为   O p t i o n a l l y - b l o c k a b l e 和   B l o c k a b l e   两 类 ： O p t i o n a l l y - b l o c k a b l e   类 混 合 内 容 包 含 那 些 危 险 较 小 ， 即 使 被 中 间 人 篡 改 也 无 大 碍 的 资 源 。 现 代 浏 览 器 默 认 会 加 载 这 类 资 源 ， 同 时 会 在 控 制 台 打 印 警 告 信 息 。 这 类 资 源 包 括 ： 通 过 标 签 加 载 的 图 片 （ 包 括   S V G   图 片 ） ； < i m g >
通 过 / 和 标 签 加 载 的 视 频 或 音 频 ； P r e f e t c h e d 预 读 的 资 源 ； 除 此 之 外 所 有 的 混 合 内 容 都 是   B l o c k a b l e ， 浏 览 器 必 须 禁 止 加 载 这 类 资 源 。 所 以 现 代 浏 览 器 中 ， 对 于   H T T P S   页 面 中 的   J a v a S c r i p t 、 C S S   等 H T T P   资 源 ， 一 律 不 加 载 ， 直 接 在 控 制 台 打 印 错 误 信 息 。 移 动 浏 览 器 移 动 浏 览 器 前 面 所 说 都 是 桌 面 浏 览 器 的 行 为 ， 移 动 端 情 况 比 较 复 杂 ， 当 前 大 部 分 移 动 浏 览 器 默 认 允 许 加 载 所 有 混 合 内 容 。 也 就 是 说 ， 对 于 移 动 浏 览 器 来 说 ， H T T P S   中 的   H T T P   资 源 ， 无 论 是 图 片 还 是   J a v a S c r i p t 、 C S S ， 默 认 都 会 加 载 。 补 充 ： 上 面 这 段 结 论 源 自 于 我 大 半 年 前 的 测 试 ， 本 文 评 论 中 的   a y a n a m i s t   同 学 反 馈 现 状 已 经 有 所 变 化 。 我 又 做 了 一 些 测 试 ， 果 然 随 着 操 作 系 统 的 升 级 ， 移 动 浏 览 器 都 开 始 遵 循 混 合 内 容 规 范 了 。 最 新 测 试 表 明 ， 对 于   B l o c k a b l e   类 混 合 内 容 ： i O S   9   以 下 的   S a f a r i ， 以 及   A n d r o i d   5   以 下 的   W e b v i e w ， 默 认 会 加 载 ； A n d r o i d   各 版 本 的   C h r o m e ， i O S   9 +   的   S a f a r i ， A n d r o i d   5 +   的   W e b v i e w ， 默 认 不 会 加 载 ； 一 般 选 择 了 全 站   H T T P S ， 就 要 避 免 出 现 混 合 内 容 ， 页 面 所 有 资 源 请 求 都 走   H T T P S   协 议 才 能 保 证 所 有 平 台 所 有 浏 览 器 下 都 没 有 问 题 。 合 理 使 用   C S P C S P ， 全 称 是   C o n t e n t   S e c u r i t y   P o l i c y ， 它 有 非 常 多 的 指 令 ， 用 来 实 现 各 种 各 样 与 页 面 内 容 安 全 相 关 的 功 能 。 这 里 只 介 绍 两 个 与   H T T P S   相 关 的 指 令 ， 更 多 内 容 可 以 看 我 之 前 写 的 《 C o n t e n t   S e c u r i t y   P o l i c y   L e v e l   2   介 绍 》 。 b l o c k - a l l - m i x e d - c o n t e n t 前 面 说 过 ， 对 于   H T T P S   中 的 图 片 等   O p t i o n a l l y - b l o c k a b l e   类   H T T P   资 源 ， 现 代 浏 览 器 默 认 会 加 载 。 图 片 类 资 源 被 劫 持 ， 通 常 不 会 有 太 大 的 问 题 ， 但 也 有 一 些 风 险 ， 例 如 很 多 网 页 按 钮 是 用 图 片 实 现 的 ， 中 间 人 把 这 些 图 片 改 掉 ， 也 会 干 扰 用 户 使 用 。 通 过   C S P   的   b l o c k - a l l - m i x e d - c o n t e n t   指 令 ， 可 以 让 页 面 进 入 S t r i c t   M i x e d   C o n t e n t   C h e c k i n g 对 混 合 内 容 的 严 格 检 测 模 式 。 在 这 种 模 式 下 ， 所 有 非   H T T P S   资 源 都 不 允 许 加 载 。 跟 其 它 所 有   C S P   规 则 一 样 ， 可 以 通 过 以 下 两 种 方 式 启 用 这 个 指 令 ： H T T P   响 应 头 方 式 ： 标 签 方 式 ： < v i d e o > < a u d i o > < s o u r c e > 1 .   C o n t e n t - S e c u r i t y - P o l i c y :   b l o c k - a l l - m i x e d - c o n t e n t < m e t a > 1 .   < m e t a   h t t p - e q u i v = " C o n t e n t - S e c u r i t y - P o l i c y "   c o n t e n t = " b l o c k - a l l - m i x e d - c o n t e n t " >
u p g r a d e - i n s e c u r e - r e q u e s t s 历 史 悠 久 的 大 站 在 往   H T T P S   迁 移 的 过 程 中 ， 工 作 量 往 往 非 常 巨 大 ， 尤 其 是 将 所 有 资 源 都 替 换 为   H T T P S   这 一 步 ， 很 容 易 产 生 疏 漏 。 即 使 所 有 代 码 都 确 认 没 有 问 题 ， 很 可 能 某 些 从 数 据 库 读 取 的 字 段 中 还 存 在   H T T P   链 接 。 而 通 过   u p g r a d e - i n s e c u r e - r e q u e s t s   这 个   C S P   指 令 ， 可 以 让 浏 览 器 帮 忙 做 这 个 转 换 。 启 用 这 个 策 略 后 ， 有 两 个 变 化 ： 页 面 所 有   H T T P   资 源 ， 会 被 替 换 为   H T T P S   地 址 再 发 起 请 求 ； 页 面 所 有 站 内 链 接 ， 点 击 后 会 被 替 换 为   H T T P S   地 址 再 跳 转 ； 跟 其 它 所 有   C S P   规 则 一 样 ， 这 个 指 令 也 有 两 种 方 式 来 启 用 ， 具 体 格 式 请 参 考 上 一 节 。 需 要 注 意 的 是   u p g r a d e - i n s e c u r e - r e q u e s t s   只 替 换 协 议 部 分 ， 所 以 只 适 用 于   H T T P / H T T P S   域 名 和 路 径 完 全 一 致 的 场 景 。 合 理 使 用   H S T S 在 网 站 全 站   H T T P S   后 ， 如 果 用 户 手 动 敲 入 网 站 的   H T T P   地 址 ， 或 者 从 其 它 地 方 点 击 了 网 站 的   H T T P   链 接 ， 依 赖 于 服 务 端   3 0 1 / 3 0 2   跳 转 才 能 使 用   H T T P S   服 务 。 而 第 一 次 的   H T T P   请 求 就 有 可 能 被 劫 持 ， 导 致 请 求 无 法 到 达 服 务 器 ， 从 而 构 成   H T T P S   降 级 劫 持 。 H S T S   基 本 使 用 基 本 使 用 这 个 问 题 可 以 通 过   H S T S （ H T T P   S t r i c t   T r a n s p o r t   S e c u r i t y ， R F C 6 7 9 7 ） 来 解 决 。 H S T S   是 一 个 响 应 头 ， 格 式 如 下 ： m a x - a g e ， 单 位 是 秒 ， 用 来 告 诉 浏 览 器 在 指 定 时 间 内 ， 这 个 网 站 必 须 通 过   H T T P S   协 议 来 访 问 。 也 就 是 对 于 这 个 网 站 的   H T T P   地 址 ， 浏 览 器 需 要 先 在 本 地 替 换 为   H T T P S   之 后 再 发 送 请 求 。 i n c l u d e S u b D o m a i n s ， 可 选 参 数 ， 如 果 指 定 这 个 参 数 ， 表 明 这 个 网 站 所 有 子 域 名 也 必 须 通 过   H T T P S   协 议 来 访 问 。 p r e l o a d ， 可 选 参 数 ， 后 面 再 介 绍 它 的 作 用 。 H S T S   这 个 响 应 头 只 能 用 于   H T T P S   响 应 ； 网 站 必 须 使 用 默 认 的   4 4 3   端 口 ； 必 须 使 用 域 名 ， 不 能 是   I P 。 而 且 启 用   H S T S   之 后 ， 一 旦 网 站 证 书 错 误 ， 用 户 无 法 选 择 忽 略 。 H S T S   P r e l o a d   L i s t 可 以 看 到   H S T S   可 以 很 好 的 解 决   H T T P S   降 级 攻 击 ， 但 是 对 于   H S T S   生 效 前 的 首 次   H T T P   请 求 ， 依 然 无 法 避 免 被 劫 持 。 浏 览 器 厂 商 们 为 了 解 决 这 个 问 题 ， 提 出 了   H S T S   P r e l o a d   L i s t   方 案 ： 内 置 一 份 列 表 ， 对 于 列 表 中 的 域 名 ， 即 使 用 户 之 前 没 有 访 问 过 ， 也 会 使 用   H T T P S   协 议 ； 列 表 可 以 定 期 更 新 。 目 前 这 个   P r e l o a d   L i s t   由   G o o g l e   C h r o m e   维 护 ， C h r o m e 、 F i r e f o x 、 S a f a r i 、 I E   1 1   和   M i c r o s o f t   E d g e   都 在 使 用 。 如 果 要 想 把 自 己 的 域 名 加 进 这 个 列 表 ， 首 先 需 要 满 足 以 下 条 件 ： 拥 有 合 法 的 证 书 （ 如 果 使 用   S H A - 1   证 书 ， 过 期 时 间 必 须 早 于   2 0 1 6   年 ） ； 将 所 有   H T T P   流 量 重 定 向 到   H T T P S ； 确 保 所 有 子 域 名 都 启 用 了   H T T P S ； 输 出   H S T S   响 应 头 ： m a x - a g e   不 能 低 于   1 8   周 （ 1 0 8 8 6 4 0 0   秒 ） ； 必 须 指 定   i n c l u d e S u b d o m a i n s   参 数 ； 必 须 指 定   p r e l o a d   参 数 ； 即 便 满 足 了 上 述 所 有 条 件 ， 也 不 一 定 能 进 入   H S T S   P r e l o a d   L i s t ， 更 多 信 息 可 以 看 这 里 。 通 过   C h r o m e   的 1 .   S t r i c t - T r a n s p o r t - S e c u r i t y :   m a x - a g e = e x p i r e T i m e   [ ;   i n c l u d e S u b D o m a i n s ]   [ ;   p r e l o a d ]
参 考 原 文 ： h t t p s : / / i m q u q u . c o m / p o s t / s t h - a b o u t - s w i t c h - t o - h t t p s . h t m l 作 者 ：   J e r r y   Q u 工 具 ， 可 以 查 询 某 个 网 站 是 否 在   P r e l o a d   L i s t   之 中 ， 还 可 以 手 动 把 某 个 域 名 加 到 本 机   P r e l o a d   L i s t 。 对 于   H S T S   以 及   H S T S   P r e l o a d   L i s t ， 我 的 建 议 是 只 要 你 不 能 确 保 永 远 提 供 我 的 建 议 是 只 要 你 不 能 确 保 永 远 提 供   H T T P S   服 务 ， 就 不 要 启 用 服 务 ， 就 不 要 启 用 。 因 为 一 旦   H S T S   生 效 ， 你 再 想 把 网 站 重 定 向 为   H T T P ， 之 前 的 老 用 户 会 被 无 限 重 定 向 ， 唯 一 的 办 法 是 换 新 域 名 。 C D N   安 全 对 于 大 站 来 说 ， 全 站 迁 移 到   H T T P S   后 还 是 得 用   C D N ， 只 是 必 须 选 择 支 持   H T T P S   的   C D N   了 。 如 果 使 用 第 三 方   C D N ， 安 全 方 面 有 一 些 需 要 考 虑 的 地 方 。 合 理 使 用 合 理 使 用   S R I H T T P S   可 以 防 止 数 据 在 传 输 中 被 篡 改 ， 合 法 的 证 书 也 可 以 起 到 验 证 服 务 器 身 份 的 作 用 ， 但 是 如 果   C D N   服 务 器 被 入 侵 ， 导 致 静 态 文 件 在 服 务 器 上 被 篡 改 ， H T T P S   也 无 能 为 力 。 W 3 C   的   S R I （ S u b r e s o u r c e   I n t e g r i t y ） 规 范 可 以 用 来 解 决 这 个 问 题 。 S R I   通 过 在 页 面 引 用 资 源 时 指 定 资 源 的 摘 要 签 名 ， 来 实 现 让 浏 览 器 验 证 资 源 是 否 被 篡 改 的 目 的 。 只 要 页 面 不 被 篡 改 ， S R I   策 略 就 是 可 靠 的 。 有 关   S R I   的 更 多 说 明 请 看 我 之 前 写 的 《 S u b r e s o u r c e   I n t e g r i t y   介 绍 》 。 S R I   并 不 是   H T T P S   专 用 ， 但 如 果 主 页 面 被 劫 持 ， 攻 击 者 可 以 轻 松 去 掉 资 源 摘 要 ， 从 而 失 去 浏 览 器 的   S R I   校 验 机 制 。 了 解 了 解   K e y l e s s   S S L 另 外 一 个 问 题 是 ， 在 使 用 第 三 方   C D N   的   H T T P S   服 务 时 ， 如 果 要 使 用 自 己 的 域 名 ， 需 要 把 对 应 的 证 书 私 钥 给 第 三 方 ， 这 也 是 一 件 风 险 很 高 的 事 情 。 C l o u d F l a r e   公 司 针 对 这 种 场 景 研 发 了   K e y l e s s   S S L   技 术 。 你 可 以 不 把 证 书 私 钥 给 第 三 方 ， 改 为 提 供 一 台 实 时 计 算 的   K e y   S e r v e r   即 可 。 C D N   要 用 到 私 钥 时 ， 通 过 加 密 通 道 将 必 要 的 参 数 传 给   K e y   S e r v e r ， 由   K e y   S e r v e r   算 出 结 果 并 返 回 即 可 。 整 个 过 程 中 ， 私 钥 都 保 管 在 自 己 的   K e y S e r v e r   之 中 ， 不 会 暴 露 给 第 三 方 。 C l o u d F l a r e   的 这 套 机 制 已 经 开 源 ， 如 需 了 解 详 情 ， 可 以 查 看 他 们 官 方 博 客 的 这 篇 文 章 ： K e y l e s s   S S L :   T h e   N i t t y   G r i t t y   T e c h n i c a l   D e t a i l s 。 好 了 ， 本 文 先 就 写 到 这 里 ， 需 要 注 意 的 是 本 文 提 到 的   C S P 、 H S T S   以 及   S R I   等 策 略 都 只 有 最 新 的 浏 览 器 才 支 持 ， 详 细 的 支 持 度 可 以 去 C a n I U s e   查 。 切 换 到   H T T P S   之 后 ， 在 性 能 优 化 上 有 很 多 新 工 作 要 做 ， 这 部 分 内 容 我 在 之 前 的 博 客 中 写 过 很 多 ， 这 里 不 再 重 复 ， 只 说 最 重 要 的 一 点 ： 既 然 都 既 然 都   H T T P S   了 ， 赶 紧 上 了 ， 赶 紧 上   H T T P / 2   才 是 正 道 。 才 是 正 道 。 c h r o m e : / / n e t - i n t e r n a l s / # h s t s
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理