搜索

[24631] 2016-01-17_如何针对老旧浏览器设置HTTPS策略

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2016-01-17_如何针对老旧浏览器设置HTTPS策略 如 何 针 对 老 旧 浏 览 器 设 置   H T T P S   策 略 J e r r y   Q u   L i n u x 中 国   2 0 1 6 - 0 1 - 1 7 参 考 原 文 ： h t t p s : / / i m q u q u . c o m / p o s t / s t h - a b o u t - s w i t c h - t o - h t t p s - 2 . h t m l   作 者 ：   J e r r y   Q u   几 天 前 ， 一 位 朋 友 问 我 ： 都 说 推 荐 用   Q u a l y s   S S L   L a b s   [   h t t p s : / / w w w . s s l l a b s . c o m / s s l t e s t /   ]   这 个 工 具 测 试   S S L   安 全 性 ， 为 什 么 有 些 安 全 实 力 很 强 的 大 厂 家 评 分 也 很 低 ？ 我 认 为 这 个 问 题 应 该 从 两 方 面 来 看 ： 1 .   国 内 用 户 终 端 情 况 复 杂 ， 很 多 时 候 降 低   S S L   安 全 配 置 是 为 了 兼 容 更 多 用 户 ； 2 .   确 实 有 一 些 大 厂 家 的   S S L   配 置 很 不 专 业 ， 尤 其 是 配 置 了 一 些 明 显 不 该 使 用 的   C i p h e r S u i t e 。 我 之 前 写 的 《 关 于 启 用   H T T P S   的 一 些 经 验 分 享 （ 一 ） 》 ， 主 要 介 绍   H T T P S   如 何 与 一 些 新 出 的 安 全 规 范 配 合 使 用 ， 面 向 的 是 现 代 浏 览 器 。 而 今 天 这 篇 文 章 ， 更 多 的 是 介 绍 启 用   H T T P S   过 程 中 在 老 旧 浏 览 器 下 可 能 遇 到 的 问 题 ， 以 及 如 何 取 舍 。 S S L   版 本 选 择 版 本 选 择 T L S （ T r a n s p o r t   L a y e r   S e c u r i t y 传 输 层 安 全 ） 的 前 身 是   S S L （ S e c u r e   S o c k e t s   L a y e r 安 全 套 接 字 层 ） ， 它 最 初 的 几 个 版 本 （ S S L   1 . 0 、 S S L   2 . 0 、 S S L   3 . 0 ） 由 网 景 公 司 开 发 ， 从   3 . 1   开 始 被   I E T F   标 准 化 并 改 名 ， 发 展 至 今 已 经 有   T L S   1 . 0 、 T L S   1 . 1 、 T L S   1 . 2   三 个 版 本 。 T L S   1 . 3   改 动 会 比 较 大 ， 目 前 还 在 草 案 阶 段 。 S S L   1 . 0   从 未 公 开 过 ， 而   S S L   2 . 0   和   S S L   3 . 0   都 存 在 安 全 问 题 ， 不 推 荐 使 用 。 N g i n x   从   1 . 9 . 1   开 始 默 认 只 支 持   T L S   的 三 个 版 本 ， 以 下 是   N g i n x   官 方 文 档   [ h t t p : / / n g i n x . o r g / e n / d o c s / h t t p / n g x _ h t t p _ s s l _ m o d u l e . h t m l # s s l _ p r o t o c o l s   ]   中 对 配 置 的 说 明 ： S y n t a x :   s s l _ p r o t o c o l s   [ S S L v 2 ]   [ S S L v 3 ]   [ T L S v 1 ]   [ T L S v 1 . 1 ]   [ T L S v 1 . 2 ] ; D e f a u l t :   s s l _ p r o t o c o l s   T L S v 1   T L S v 1 . 1   T L S v 1 . 2 ; C o n t e x t :   h t t p ,   s e r v e r E n a b l e s   t h e   s p e c i f i e d   p r o t o c o l s .   T h e   T L S v 1 . 1   a n d   T L S v 1 . 2   p a r a m e t e r s   w o r k   o n l y   w h e n   t h e   O p e n S S L   l i b r a r y   o f   v e r s i o n   1 . 0 . 1   o r   h i g h e r   i s   u s e d . 但 不 幸 的 是 ， I E   6   只 支 持   S S L v 2   和   S S L v 3 （ 来 源   [   h t t p s : / / w w w . s s l l a b s . c o m / s s l t e s t / v i e w C l i e n t . h t m l ? n a m e = I E & v e r s i o n = 6 & p l a t f o r m = X P   ]   ） ， 也 就 是 说   H T T P S 网 站 要 支 持   I E   6 ， 就 必 须 启 用   S S L v 3 。 仅 这 一 项 就 会 导 致   S S L   L a b s   给 出 的 评 分 降 为   C 。 加 密 套 件 选 择 加 密 套 件 选 择 s s l _ p r o t o c o l s
C i p h e r S u i t e 加 密 套 件 ， 是 在   S S L   握 手 中 需 要 协 商 的 很 重 要 的 一 个 参 数 。 客 户 端 会 在 中 带 上 它 所 支 持 的   C i p h e r S u i t e   列 表 ， 服 务 端 会 从 中 选 定 一 个 并 通 过 返 回 。 如 果 客 户 端 支 持 的   C i p h e r S u i t e   列 表 与 服 务 端 配 置 的   C i p h e r S u i t e   列 表 没 有 交 集 ， 会 导 致 无 法 完 成 协 商 ， 握 手 失 败 。 C i p h e r S u i t e   包 含 多 种 技 术 ， 例 如 A u t h e n t i c a t i o n 认 证 算 法 、 E n c r y p t i o n 加 密 算 法 、 M e s s a g e   A u t h e n t i c a t i o n   C o d e 消 息 认 证 码 算 法 （ M A C ） 、 K e y   E x c h a n g e 密 钥 交 换 算 法 和 K e y   D e r i v a t i o n   F u n c t i o n 密 钥 衍 生 算 法 。 S S L   的   C i p h e r S u i t e   协 商 机 制 具 有 良 好 的 扩 展 性 ， 每 个   C i p h e r S u i t e   都 需 要 在   I A N A   注 册 ， 并 被 分 配 两 个 字 节 的 标 志 。 全 部   C i p h e r S u i t e   可 以 在   I A N A   的   T L S C i p h e r   S u i t e   R e g i s t r y   [   h t t p s : / / w w w . i a n a . o r g / a s s i g n m e n t s / t l s - p a r a m e t e r s / t l s - p a r a m e t e r s . x h t m l # t l s - p a r a m e t e r s - 4   ]   页 面 查 看 。 O p e n S S L   库 支 持 的 全 部   C i p h e r S u i t e   可 以 通 过 以 下 命 令 查 看 ： 是   C i p h e r S u i t e   的 编 号 ， 在   S S L   握 手 中 会 用 到 。 是 它 的 名 称 ， 之 后 几 部 分 分 别 表 示 ： 用 于   T L S v 1 . 2 ， 使 用   E C D H   做 密 钥 交 换 ， 使 用   E C D S A   做 认 证 ， 使 用   C h a C h a 2 0 - P o l y 1 3 0 5   做 对 称 加 密 ， 由 于   C h a C h a 2 0 - P o l y 1 3 0 5   是 一 种   A E A D   模 式 ， 不 需 要   M A C   算 法 ， 所 以   M A C   列 显 示 为   A E A D 。 要 了 解   C i p h e r S u i t e   的 更 多 内 容 ， 可 以 阅 读 这 篇 长 文 《 T L S   协 议 分 析   与   现 代 加 密 通 信 协 议 设 计   [   h t t p s : / / b l o g . h e l o n g . i n f o / b l o g / 2 0 1 5 / 0 9 / 0 6 / t l s - p r o t o c o l - a n a l y s i s - a n d - c r y p t o - p r o t o c o l - d e s i g n /   ]   》 。 总 之 ， 在 配 置   C i p h e r S u i t e   时 ， 请 务 必 参 考 权 威 文 档 ， 如 ： M o z i l l a   的 推 荐 配 置   [ h t t p s : / / w i k i . m o z i l l a . o r g / S e c u r i t y / S e r v e r _ S i d e _ T L S # R e c o m m e n d e d _ c o n f i g u r a t i o n s   ]   、 C l o u d F l a r e   使 用 的 配 置   [ h t t p s : / / g i t h u b . c o m / c l o u d f l a r e / s s l c o n f i g / b l o b / m a s t e r / c o n f   ]   。 以 上   M o z i l l a   文 档 中 的 「 O l d   b a c k w a r d   c o m p a t i b i l i t y 」 配 置 ， 以 及   C l o u d F l a r e   的 配 置 ， 都 可 以 很 好 的 兼 容 老 旧 浏 览 器 ， 包 括   W i n d o w s   X P   /   I E 6 。 之 前 见 到 某 个 大 厂 家 居 然 支 持 包 含 的   C i p h e r S u i t e ， 这 些 套 件 在 上 世 纪 由 于 美 国 出 口 限 制 而 被 弱 化 过 ， 已 被 攻 破 ， 实 在 没 有 理 由 再 使 用 。 S N I   扩 展 扩 展 我 们 知 道 ， 在   N g i n x   中 可 以 通 过 指 定 不 同 的 来 配 置 多 个 站 点 。 H T T P / 1 . 1   协 议 请 求 头 中 的 字 段 可 以 标 识 出 当 前 请 求 属 于 哪 个 站 点 。 但 是 对 于   H T T P S   网 站 来 说 ， 要 想 发 送   H T T P   数 据 ， 必 须 等 待   S S L   握 手 完 成 ， 而 在 握 手 阶 段 服 务 端 就 必 须 提 供 网 站 证 书 。 对 于 在 同 一 个   I P   部 署 不 同   H T T P S   站 点 ， 并 且 还 使 用 了 不 同 证 书 的 情 况 下 ， 服 务 端 怎 么 知 道 该 发 送 哪 个 证 书 ？ S e r v e r   N a m e   I n d i c a t i o n ， 简 称 为   S N I ， 是   T L S   的 一 个 扩 展 ， 为 解 决 这 个 问 题 应 运 而 生 。 有 了   S N I ， 服 务 端 可 以 通 过 C l i e n t   H e l l o S e r v e r   H e l l o 1 .   o p e n s s l   c i p h e r s   - V   |   c o l u m n   - t 2 .   0 x C C , 0 x 1 4     -     E C D H E - E C D S A - C H A C H A 2 0 - P O L Y 1 3 0 5     T L S v 1 . 2     K x = E C D H                 A u = E C D S A       E n c = C h a C h a 2 0 - P o l y 1 3 0 5     M a c = A E A D 3 .   . . .   . . . 0 x C C , 0 x 1 4 E C D H E - E C D S A - C H A C H A 2 0 - P O L Y 1 3 0 5 E X P O R T s e r v e r _ n a m e H o s t C l i e n t   H e l l o
中 的   S N I   扩 展 拿 到 用 户 要 访 问 网 站 的   S e r v e r   N a m e ， 进 而 发 送 与 之 匹 配 的 证 书 ， 顺 利 完 成   S S L   握 手 。 N g i n x   在 很 早 之 前 就 支 持 了   S N I ， 可 以 通 过 来 验 证 。 以 下 是 我 的 验 证 结 果 ： 然 而 ， 并 不 是 所 有 浏 览 器 都 支 持   S N I ， 以 下 是 常 见 浏 览 器 支 持   S N I   的 最 低 版 本 ： 浏 览 器 最 低 版 本 C h r o m e V i s t a +   全 支 持 ； X P   需 要   C h r o m e   6 + ； O S X   1 0 . 5 . 7 +   且   C h r o m e   5 + F i r e f o x 2 . 0 + I n t e r n e t   E x p l o r e r 7 +   ( 需 要   V i s t a + ) S a f a r i 3 +   ( 需 要   O S   X   1 0 . 5 . 6 + ) M o b i l e   S a f a r i i O S   4 . 0 + A n d r o i d   W e b v i e w 3 . 0 + 可 以 看 到 ， 现 在 还 有 一 定 用 户 量 的   W i n d o w s   X P   I E 6 ~ 8 、 A n d r o i d   2 . x   W e b v i e w   都 不 支 持   S N I 。 如 果 要 避 免 在 这 些 浏 览 器 中 出 现 证 书 错 误 ， 只 能 将 使 用 不 同 证 书 的   H T T P S   站 点 部 署 在 不 同   I P   上 ， 最 简 单 的 做 法 是 分 开 部 署 到 不 同 机 器 上 。 证 书 选 择 证 书 选 择 H T T P S   网 站 需 要 通 过   C A   取 得 合 法 证 书 ， 证 书 通 过 数 字 签 名 技 术 确 保 第 三 方 无 法 伪 造 。 证 书 的 简 单 原 理 如 下 ： 根 据 版 本 号 、 序 列 号 、 签 名 算 法 标 识 、 发 行 者 名 称 、 有 效 期 、 证 书 主 体 名 、 证 书 主 体 公 钥 信 息 、 发 行 商 唯 一 标 识 、 主 体 唯 一 标 识 、 扩 展 生 成 T B S C e r t i f i c a t e   （   T o   B e   S i g n e d   C e r t i f i c a t e 待 签 名 证 书 ） 信 息 ； 签 发 数 字 签 名 ： 使 用   H A S H   函 数 对   T B S C e r t i f i c a t e   计 算 得 到 消 息 摘 要 ， 用   C A   的 私 钥 对 消 息 摘 要 进 行 加 密 ， 得 到 签 名 ； 校 验 数 字 签 名 ： 使 用 相 同 的   H A S H   函 数 对   T B S C e r t i f i c a t e   计 算 得 到 消 息 摘 要 ， 与 使 用   C A   公 钥 解 密 签 名 得 到 内 容 相 比 较 ； 使 用   S H A - 1   做 为   H A S H   函 数 的 证 书 被 称 之 为   S H A - 1   证 书 ， 由 于 目 前 已 经 找 到   S H A - 1   的 碰 撞 条 件 ， 将 证 书 换 成 使 用 更 安 全 的   S H A - 2   做 为   H A S H   函 数 的 S H A - 2   证 书 被 提 上 日 程 。 实 际 上 ， 微 软 已 经 宣 称 自   2 0 1 7   年   1   月   1   日 起 ， 将 全 面 停 止 对   S H A - 1   证 书 的 支 持 。 届 时 在 最 新 版 本 的   W i n d o w s   系 统 中 ， S H A - 1   证 书 将 不 被 信 任 。 而 根 据   C h r o m e   官 方 博 客 的 文 章   [   h t t p : / / b l o g . c h r o m i u m . o r g / 2 0 1 4 / 0 9 / g r a d u a l l y - s u n s e t t i n g - s h a - 1 . h t m l   ]   ， 使 用   S H A - 1   证 书 且 证 书 有 效 期 在   2 0 1 6   年   1   月   1   号 至 2 0 1 6   年   1 2   月   3 1   号 之 间 的 站 点 会 被 给 予 「 安 全 的 ， 但 存 在 漏 洞 」 的 提 示 ， 也 就 是 地 址 栏 的 小 锁 不 再 是 绿 色 的 ， 并 且 会 有 一 个 黄 色 小 三 角 。 而 使 用   S H A - 1   证 书 且 证 书 有 效 期 超 过   2 0 1 7   年   1   月   1   号 的 站 点 会 被 给 予 「 不 安 全 」 的 红 色 警 告 ， 小 锁 上 直 接 显 示 一 个 红 色 的 叉 。 然 而 ， 并 不 是 所 有 的 终 端 都 支 持   S H A - 2   证 书 ， 服 务 端 不 支 持 还 好 办 ， 浏 览 器 只 能 依 赖 于 用 户 升 级 了 。 下 面 是 常 见 浏 览 器 支 持   S H A - 2   证 书 的 最 低 版 本 ： 浏 览 器 支 持   S H A - 2   证 书 的 最 低 版 本 C h r o m e 2 6 + F i r e f o x 1 . 5 + n g i n x   - V 1 .   . / n g i n x   - V 2 .   n g i n x   v e r s i o n :   n g i n x / 1 . 9 . 9 3 .   b u i l t   b y   g c c   4 . 8 . 4   ( U b u n t u   4 . 8 . 4 - 2 u b u n t u 1 ~ 1 4 . 0 4 ) 4 .   b u i l t   w i t h   O p e n S S L   1 . 0 . 2 e - d e v   x x   X X X   x x x x 5 .   T L S   S N I   s u p p o r t   e n a b l e d 6 .   c o n f i g u r e   a r g u m e n t s :   - - w i t h - o p e n s s l = . . / o p e n s s l   - - w i t h - h t t p _ s s l _ m o d u l e   - - w i t h - h t t p _ v 2 _ m o d u l e
I n t e r n e t   E x p l o r e r 6 +   ( 需 要   X P   S P 3 + ) S a f a r i 3 +   ( 需 要   O S   X   1 0 . 5 + ) A n d r o i d   W e b v i e w 2 . 3 + 浏 览 器 支 持   S H A - 2   证 书 的 最 低 版 本 可 以 看 到 ， 如 果 要 照 顾 没 有 打   X P   S P 3   补 丁 的   I E 6   用 户 ， 只 能 继 续 使 用   S H A - 1   证 书 。 在 我 之 前 的 文 章 中 ， 还 提 到 过   E C C   证 书 ， 这 种 新 型 的 证 书 支 持 度 更 差 ， 这 里 略 过 不 提 ， 有 兴 趣 的 同 学 可 以 点 这 里   [   h t t p s : / / i m q u q u . c o m / p o s t / o p t i m i z e - t l s - h a n d s h a k e . h t m l # t o c - 2 - 1   ]   查 看 。 是 否 可 以 针 对 不 同 浏 览 器 启 用 不 同 证 书 呢 ？ 理 论 上 服 务 端 可 以 根 据 客 户 端 中 的   C i p h e r   S u i t e s   特 征 以 及 是 否 支 持   S N I   的 特 征 来 分 配 不 同 证 书 ， 不 过 我 没 有 实 际 验 证 过 。 本 文 先 写 这 么 多 ， 很 多 策 略 都 需 要 根 据 自 己 网 站 的 用 户 来 决 定 ， 例 如 我 的 博 客 基 本 没 有   I E 8 -   用 户 ， 理 所 当 然 可 以 禁 用   S S L v 3 。 如 果 你 的 产 品 还 有 很 多 使 用 老 旧 浏 览 器 的 用 户 ， 那 就 必 须 为 这 些 用 户 做 兼 容 方 案 了 。 一 种 方 案 是 ： 只 把 主 域 安 全 级 别 配 低 ， 将   X P   上   I E   用 户 的   H T T P S   请 求 直 接 重 定 向 到   H T T P   版 本 ， 这 样 其 它 域 名 可 以 使 用 高 安 全 级 别 的 配 置 ， 运 维 起 来 比 较 方 便 。 参 考 原 文 ： h t t p s : / / i m q u q u . c o m / p o s t / s t h - a b o u t - s w i t c h - t o - h t t p s - 2 . h t m l   作 者 ：   J e r r y   Q u   推 荐 文 章 推 荐 文 章 I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 4 5 5 L i n u x   服 务 器 安 全 技 巧 5 0 0 T m u x   速 成 教 程 ： 技 巧 和 调 整 5 8 9 五 款   L i n u x   文 本 编 辑 器 测 评 7 3 0 L i n u x 存 储 的 未 来 3 3 7 0 超 神 们 ： 1 5   位 健 在 的 世 界 级 程 序 员 ！ 谢 谢 阅 读 阅 读 原 文 C l i e n t   H e l l o
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理