网站建设之HTTPS技术应用

网站建设使用https是有好处的 HTTPS访问过程中增加的不只是SSL握手,还要其他一些因素,比如证书验证。 总体的来说,HTTPS主要优化点包括:消除网络延迟,减少CPU运算,节省流量,提前渲染。 HTTPS对内容保护提供了一些安全的保证,但是HTTPS本身是否安全呢?张老师说,这主要从四个角度考虑;第一、私钥的保护,很多域名共同用一个证书,第二、服务部署在多个点,甚至是第三方服务平台,部署环境比较复杂。第三、当一个私钥泄露以后,攻击者可以伪造服务端来劫持流量。解决方案可以从三个部署去做;首先要保证私钥加密保护。其次最好是有一个“私有”的加密方案,通过开源算法组合,以及在密钥选择的时候,通过一些噪声的干扰等等措施达到更好的保护效果。最后是通过特殊硬件,私钥所有的运算都放在硬件中,硬件也有自我保护避免被恶意破坏。 第二个安全方面,大家可以关注一下服务的安全等级。SSLLABS提供了影响安全等级的几个因素,包括证书、协议版本,加密套件,以及协议和实现中的漏洞。当然安全性和可用性是一对相矛盾的命题,如果对于普通的服务B这个等级就可以满足当前的基本安全要求。这里需要考虑两点。第一、需要建立一套发现、验证和修复的响应机制,及时修复服务漏洞。第二、建议使用不同的TLS协议栈。另外,针对不同类型的服务提供不同的安全等级,比如说金融类提供A等级及以上。 第三点,证书验证。大部分App在开发的时候会忽略证书的检查,当被劫持和出现伪造证书的时候也很难发现。谷歌play发布了两个安全警告,声明如果不解决证书验证中存在的问题是不能上线的。建议在做证书验证的时候考虑以下四个纬度。 第一个是证书提供的域名和访问的域名是否一致;第二个是访问的时间和证书有效期对比;第三个是证书链的签名检查;还有一个是证书有效性的验证。最后,还可以监控一下当前的服务站证书是否存在伪造(伪造证书有一个前提,必须配合DNS劫持、链路劫持或客户端劫持),如果一旦出现被劫持,就可以篡改用户的请求,窥探用户的隐私。 最后看一下HTTPS的应用实践问题,张老师说,团队在开发的时候就要有自动纠错,自动降级的自我保护意识。其次是上线的验证,分级发布,回滚预案等;第三,常态的监控和报表;第四、容量保证以及异常流量的检查。是否考虑HTTPS协议降级呢?从互联网发展趋势来看,张老师建议是提供好服务,不降级。

友情提示:点赞熊源码网http://www.dianzanxiong.com点赞熊源码网 » 网站建设之HTTPS技术应用
分享到:
赞(0)
广告位820*80