搜索

[11398] 2017-05-29_TLS1.3如何用性能为HTTPS正名

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-05-29_TLS1.3如何用性能为HTTPS正名 T L S   1 . 3 如 何 用 性 能 为 H T T P S 正 名 l a l a l a h a   F r e e B u f   2 0 1 7 - 0 5 - 2 9 序 序 • 魔 戒 再 现 魔 戒 再 现 几 天 前 ， 几 天 前 ， O p e n S S L 官 方 宣 布 即 将 发 布 的 新 版 本 官 方 宣 布 即 将 发 布 的 新 版 本   （ （ O p e n S S L   1 . 1 . 1 ） ）   将 会 提 供 将 会 提 供   T L S   1 . 3   的 支 持 ， 而 且 还 会 和 之 前 的 的 支 持 ， 而 且 还 会 和 之 前 的   1 . 1 . 0   版 本 版 本 完 全 兼 容 ， 这 当 然 是 个 好 消 息 。 如 果 说 完 全 兼 容 ， 这 当 然 是 个 好 消 息 。 如 果 说   H T T P / 2   是 当 前 互 联 网 是 当 前 互 联 网   W e b   发 展 的 讨 论 热 点 之 一 ， 那 么 下 一 个 热 点 应 该 就 是 发 展 的 讨 论 热 点 之 一 ， 那 么 下 一 个 热 点 应 该 就 是   T L S 1 . 3   了 。 了 。 谈 到   T L S   那 么 就 不 得 不 说 回   H T T P S ， 2 0 1 6   年 应 该 算 是 国 内 站 点 使 用   H T T P S   激 增 的 一 年 ， 从   G o o g l e   T r e n d   上 也 可 以 看 出 该 关 键 词 的 搜 索 热 度 从   2 0 1 6   年 开 始 飙 升 。 不 光 如 此 ， 所 有 从 事 互 联 网   W e b   技 术 相 关 的 开 发 人 员 ， 也 应 该 能 够 明 显 感 受 到 ， 身 边 使 用 H T T P S   的 网 站 越 来 越 多 了 。 为 什 么 近 两 年 来   H T T P S   被 大 家 更 广 泛 的 应 用 ？ 一 方 面 得 益 于 「 中 国 特 色 」 的 网 络 安 全 环 境 ， 运 营 商 层 出 不 穷 的 各 种 劫 持 给 所 有 的 用 户 和 开 发 者 都 上 了 生 动 的 一 课 。


用 户 每 天 被 来 自 各 种 广 告 联 盟 漫 天 的 牛 皮 癣 广 告 和 运 营 商 话 费 余 额 查 询 所 包 围 。 不 仅 如 此 ， 随 着 公 司 流 量 不 断 的 被 劫 持 导 流 到 其 他 地 方 。 搞 得 很 多 公 司 连 苦 心 经 营 的 市 场 蛋 糕 都 没 办 法 安 心 的 吃 ， 终 于 大 部 分 公 司 坐 不 住 了 。 当 然 声 讨 和 口 诛 笔 伐 是 没 有 用 的 ， 所 以 拥 有 业 务 上 拥 有   H T T P S   和   H T T P   D N S   解 决 方 案 ， 也 就 顺 理 成 章 的 成 了 技 术 公 司 在 伟 大 防 火 墙 内 生 存 的 必 备 技 能 之 一 。 另 一 方 面 ， 从 安 全 角 度 讲 ， 互 联 网 上 通 过 明 文 传 输 数 据 本 身 就 是 一 件 高 风 险 的 事 情 ， 什 么 数 据 泄 露 、 中 间 人 攻 击 、 用 户 被 盗 号 、 被 竞 争 对 手 背 后 捅 刀 子   A p p   下 载 被 劫 持 … . . 也 是 屡 见 不 鲜 。 那 么 说 回 主 题 ， 既 然   H T T P S   可 以 一 劳 永 逸 的 解 决 上 述 问 题 ， 而 为 什 么 大 家 之 前 不 尽 快 的 用 起 来 ？ 问 题 在 于 ： 考 虑 到   H T T P S   要 比   H T T P   更 加 消 耗 服 务 器 资 源 ， 而 且 相 比 于   H T T P   建 立 连 接 握 手 时 需 要 消 耗 的 大 量 时 间 影 响 用 户 端 的 体 验 ， 使 得 很 多 人 望 而 却 步 ， 尤 其 是 在 移 动 网 络 下 。 当 然 ， 还 有   S S L   证 书 的 成 本 也 要 算 进 去 。 王 者 归 来 王 者 归 来 在   W e b   领 域 ， 传 输 延 迟 （ T r a n s m i s s i o n   L a t e n c y ） 是   W e b   性 能 的 重 要 指 标 之 一 ， 低 延 迟 意 味 着 更 流 畅 的 页 面 加 载 以 及 更 快 的   A P I   响 应 速 度 。 而 一 个 完 整 的   H T T P S   链 接 的 建 立 大 概 需 要 以 下 四 步 ： 第 一 步 ： D N S   查 询 浏 览 器 在 建 立 链 接 之 前 ， 需 要 将 域 名 转 换 为 互 联 网   I P   地 址 。 一 般 默 认 是 由 你 的   I S P   D N S 提 供 解 析 。 I S P   通 常 都 会 有 缓 存 的 ， 一 般 来 说 花 费 在 这 部 分 的 时 间 很 少 。 第 二 步 ： T C P   握 手 （   1   R T T ） 和 服 务 器 建 立   T C P   连 接 ， 客 户 端 向 服 务 器 发 送   S Y N   包 ， 服 务 端 返 回 确 认 的   A C K   包 ， 这 会 花 费 一 个 往 返 （ 1   R T T ） 第 三 步 ： T L S   握 手   （ 2   R T T ）
该 部 分 客 户 端 会 和 服 务 器 交 换 密 钥 ， 同 时 设 置 加 密 链 接 ， 对 于   T L S   1 . 2   或 者 更 早 的 版 本 ， 这 步 需 要   2   个   R T T 第 四 步 ： 建 立   H T T P   连 接 （ 1   R T T ） 一 旦   T L S   连 接 建 立 ， 浏 览 器 就 会 通 过 该 连 接 发 送 加 密 过 的   H T T P   请 求 。 我 们 假 设   D N S   的 查 询 时 间 忽 略 不 计 ， 那 么 从 开 始 到 建 立 一 个 完 整 的   H T T P S   连 接 大 概 一 共 需 要   4   个   R T T ， 如 果 是 浏 览 刚 刚 已 经 访 问 过 的 站 点 的 话 ， 通 过   T L S   的 会 话 恢 复 机 制 ， 第 三 步   T L S   握 手 能 够 从   2   R T T   变 为   1   R T T 。 总 结 ： 建 立 新 连 接   ： 4   R T T   +   D N S   查 询 时 间 访 问 刚 浏 览 过 的 连 接 ： 3   R T T   +   D N S   查 询 时 间 那 么   T L S   1 . 3   以 及   0 - R T T   是 如 何 减 少 延 迟 的 ? 在 此 之 前 我 们 需 要 简 单 回 顾 一 下   T L S   1 . 2   是 如 何 工 作 的 。 T L S   1 . 2   建 立 新 连 接 建 立 新 连 接 1 . 在 一 次 新 的 握 手 流 程 中 ， C l i e n t   H e l l o   总 是 客 户 端 发 送 的 第 一 条 消 息 ， 该 消 息 包 含 客 户 端 的 功 能 和 首 选 项 ， 与 此 同 时 客 户 端 也 会 将 本 身 支 持 的 所 有 密 码 套 件 （ C i p h e r   S u i t e ） 列 表 发 送 过 去 2 . S e r v e r   H e l l o   将 服 务 器 选 择 的 连 接 参 数 传 送 回 客 户 端 ， 同 时 将 证 书 链 发 送 过 去 ， 进 行 服 务 器 的 密 钥 交 换
3 . 进 行 客 户 端 部 分 的 密 钥 交 换 ， 此 时 握 手 已 经 完 成 ， 加 密 连 接 已 经 可 以 使 用 4 . 客 户 端 建 立   H T T P   连 接 T L S   1 . 2   会 话 恢 复 会 话 恢 复 会 话 恢 复 ： 在 一 次 完 整 协 商 的 连 接 断 开 时 ， 客 户 端 和 服 务 器 都 会 将 会 话 的 安 全 参 数 保 留 一 段 时 间 。 希 望 使 用 会 话 恢 复 的 服 务 器 会 为 会 话 指 定 唯 一 的 标 识 ， 称 为 会 话   I D 。 1 . 希 望 恢 复 会 话 的 客 户 端 将 相 应 的 会 话   I D   放 入   C l i e n t H e l l o   消 息 中 ， 提 交 给 服 务 器 2 . 服 务 器 如 果 愿 意 恢 复 会 话 ， 将 相 同 的 会 话   I D   放 入   S e r v e r   H e l l o   消 息 返 回 ， 使 用 之 前 协 商 的 主 密 钥 生 成 一 套 新 密 钥 ， 切 换 到 加 密 模 式 ， 发 送 完 成 信 息 3 . 客 户 端 收 到 会 话 已 恢 复 的 消 息 ， 也 进 行 相 同 的 操 作 。 T L S   1 . 3   建 立 新 连 接 建 立 新 连 接
1 . 在 一 次 新 的 握 手 流 程 中 ， 客 户 端 不 仅 会 发 送   C l i e n t   H e l l o   同 时 也 会 将 支 持 的 密 码 套 件 以 及 客 户 端 密 钥 发 送 给 服 务 端 ， 相 比 于 T L S 1 . 2 ， 该 步 骤 节 约 了 一 个   R T T 2 . 服 务 端 发 送   S e r v e r   H e l l o   ， 服 务 端 密 钥 和 证 书 3 . 客 户 端 接 收 服 务 端 发 过 来 的 信 息 ， 使 用 服 务 端 密 钥 ， 同 时 检 查 证 书 完 整 性 ， 此 时 加 密 连 接 已 经 建 立 可 以 发 送   H T T P   请 求 ， 整 个 过 程 仅 仅 一 个   R T T T L S   1 . 3   0 - R T T   会 话 恢 复 会 话 恢 复 T L S   1 . 2   中 通 过   1   个   R T T   即 可 完 成 会 话 恢 复 ， 那 么   T L S   1 . 3   是 如 何 做 到   0   R T T   连 接 的 ？ 当 一 个 支 持   T L S   1 . 3   的 客 户 端 连 接 到 同 样 支 持   T L S   1 . 3   的 服 务 器 时 ，   客 户 端 会 将 收 到 服 务 器 发 送 过 来 的   T i c k e t   通 过 相 关 计 算 ， 一 起 组 成 新 的   预 共 享 密 钥 ， P S K   （ P r e S h a r e d K e y ） 。 客 户 端 会 将 该   P S K   缓 存 在 本 地 ， 在 会 话 恢 复 时 在   C l i e n t   H e l l o   上 带 上   P S K   扩 展 ，
同 时 通 过 之 前 客 户 端 发 送 的 完 成 （ f i n i s h e d ） 计 算 出 恢 复 密 钥   （ R e s u m p t i o n   S e c r e t ） 通 过 该 密 钥 加 密 数 据 发 送 给 服 务 器 。 服 务 器 会 从 会 话   T i c k e t   中 算 出   P S K ， 使 用 它 来 解 密 刚 才 发 过 来 的 加 密 数 据 。 至 此 完 成 了 该   0 - R T T   会 话 恢 复 的 过 程 。 以 上 简 单 描 述 了   T L S   1 . 3   建 立 连 接 的 大 致 流 程 ， 也 解 释 了 为 什 么   T L S   1 . 3   相 比 于 之 前 的   T L S   1 . 2   会 有 更 出 色 的 性 能 表 现 。 当 然   T L S   1 . 3   还 有 非 常 非 常 多 的 细 节 以 及 安 全 特 性 ， 优 点 以 及 缺 点 （ 去 除 静 态   R S A   和   D H   密 钥 协 商 、 禁 止   R C 4 、 有 副 作 用 的   0 - R T T   握 手 存 在 重 放 攻 击 ， 不 支 持 前 向 保 密 … . . ） ， 限 于 篇 幅 并 没 有 更 深 入 的 去 探 讨 。 总 结 总 结 T L S   1 . 3   将 是   W e b   性 能 以 及 安 全 的 一 个 新 的 里 程 碑 ， 随 之   T L S 1 . 3   带 来 的   0 - R T T   握 手 ， 淡 化 了 大 家 之 前 对 使 用   H T T P S   性 能 上 的 隐 忧 。 于 此 同 时 ， 在 未 来 随 着   H T T P / 2   的 不 断 普 及 ， 强 制 性 使 用   H T T P S   成 为 了 一 种 必 然 。 H T T P S   的 推 广 也 离 不 开 一 些 公 益 性 的 组 织 ， 比 如   L e t ’ s   E n c r y p t 。 L e t ’ s   E n c r y p t   推 动 了 基 础   D V   H T T P S   证 书 的 普 及 ， 让 互 联 网 上 的 中 小 站 长 和 独 立 博 客 用 户 很 容 易 的 用 上   H T T P S 。 而 对 于 企 业 来 说 ， D V   证 书 是 不 能 满 足 要 求 的 。 需 要 信 任 等 级 更 高 、 安 全 级 别 更 强 的 企 业 型   S S L   证 书 （ O V   S S L ） 以 及 增 强 型 S S L 证 书 （ E V S S L ） ， 相 比 于   D V   证 书 ， 后 两 者 价 格 虽 会 更 贵 一 些 ， 而 带 来 的 安 全 性 保 证 却 是 前 者   D V   证 书 不 能 相 比 的 。 *   本 文 作 者 ： l a l a l a h a ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理