你一定要知道,关于https的五大误区

更新日期: 2020-09-22阅读: 1.4k标签: https

如今,https协议正在被广泛重视和使用。随着今年2月初,谷歌旗下Chrome浏览器宣布将所有http标示为不安全网站,许多网站都争相从http升级到了https。当你打开很多网站时,会发现浏览器左上角有一把绿色的安全锁,这把锁就证明该网站已经使用了https加密保护。


之所以会实现https加密保护,主要是因为该网站使用了SSL证书。现在很多网站都会使用SSL证书对网站数据进行传输加密,尤其是银行、金融、电商类的网站。但很多人对于https的理解都存在不少误区,比如https会让网站访问速度变慢、消耗服务器资源、增加网站成本等等。为了能让大家对https有更为清晰的认识,今天我们就来谈谈网站升级到https协议后的认知误区。


误区1:https会拖慢网站的访问速度

随着互联网用户的增加,用户可能担忧https会降低网站的访问速度。幸运的是,网站使用https协议虽然比http协议多出了SSL证书的握手验证环节,但这个SSL证书握手环节一般不会超过100毫秒,也就是说不到0.1秒。在大多数情况下,https实际上是指http/2,它是标准http协议的修订版本,旨在通过压缩数据和减少涉及的流程,将页面加载时间缩短50%,如果做好https性能优化,https并不会拖慢网站的访问速度。


有时,https反倒比http更快一点,这一般是大公司的内部局域网。通常情况下,公司的网关会截取并分析所有的网络通信,但当它遇到https连接时就只能直接放行,因为https经过加密无法被解读。由于少了这个解读过程,所以https会更快。


误区2:https会大幅增加硬件配置成本

为了实现https,升级CPU、购买更多服务器的方法已经成为历史。可能会有一些个人或者中小网站使用的是虚拟主机,在这样的共享服务器空间上面,如果要想安装SSL证书就需要服务器提供支持。就目前而言,大部分虚拟主机都已经支持配置SSL,随着硬件性能的突飞猛进,https施加在硬件之上的运算压力已经越来越小,再加上合理的优化和部署,硬件成本增加几乎可以忽略不计。


误区3:只有数据敏感的网站才需要https

人们对银行、电商、金融等网站必须启用https已达成共识,但其他类型的网站是否有这个必要呢?我们认为很有必要,因为https有助于保护用户的隐私和确保内容的真实性,它表示将让网站的全部内容都纳入https的保护。Chrome、火狐已开始对非https页面进行警告,谷歌、百度均给予https页面更高的搜索权重。因此不论从安全还是发展的角度来讲,https对各个类型的网站都非常必要。


误区4:SSL证书可以随意申请

有些人看到网上有免费SSL证书,就会认为申请SSL证书很容易。其实,容易申请的SSL证书都是便宜或免费的,高级的SSL证书并不是掏钱就一定能申请到。SSL证书根据可信强度,大概可以分为:域名型证书(DV SSL)、企业型证书(OV SSL)、增强型证书(EV SSL)三种。

现在所说的免费SSL证书都是最低级别的DV SSL证书,对于高级的EV SSL证书来说,需要提交真实可靠的资料(如企业营业执照、组织机构代码证等),并且需要经过CA人工审核通过后才可颁发,很多企业因为提交资料不齐全或不真实而导致申请失败。


误区5:有了https,网站就100%安全了

这可以称为“https万能论”,部分企业也用https宣传自己的网站足够安全。但实际上,https是利用SSL证书满足网络通讯传输加密和服务器身份验证这两个安全需求,即防窃取、防篡改、防钓鱼,别的安全需求就满足不了了。众多网站安全问题也不可能仅靠一张SSL证书就全部解决,但传输加密和身份验证是网站安全的基础,基础都打不好,安全就是空谈。因此,对网络安全来说,https不是万能的,但没有https是万万不能的。

在网络安全事件频发的时代,部署https已是不可逆的趋势。随着申请SSL证书的用户越来越多,在SSL证书申请过程中依然还有很多内容需要注意。我们不能忽视网络安全的任何一个细节,一张小小的证书固然只是网络安全个微小环节,但其重要程度可见一斑,因此用户一定要选择像天威诚信这类受信任的证书颁发CA机构,才能将网络置于安全的保护伞之下,在更可信的环境下享受自由网络生活。


链接: https://fly63.com/article/detial/9857

https的设置

现有如下的web架构(简化之后的),需要把原来的http访问修改到https访问!haproxy的认证有两种方式:第一种:haproxy提供ssl证书,后面的nginx访问使用正常的http。第二种:haproxy做正常的代理,后面的nginx提供ssl证书!

HTTPS流量解密

对已抓取的HTTPS流量数据包,如果对其进行解密,需要满足以下几个前提:1、在SSL/TLS协商阶段,被选中的加密套件使用的密钥交换方式为RSA,2、已经获取RSA证书的私钥。

在Nginx下部署SSL证书并重定向至HTTPS

步骤一:下载 Nginx 版证书文件,解压以后可以看到一个 .key 文件和 .crt/.pem 文件,步骤二:上传证书。把上面的 .key 文件和 .crt/.pem 文件上传到 /root 目录中,命名为 ssl.crt/ssl.pem 和 ssl.key,步骤三:LNMP 一键安装包的 Nginx 配置在 /usr/local/nginx/conf/vhost/ 目录中

使用acme.sh撸一个免费且自动更新的HTTPS证书

发现了 acme.sh 这个库,这个是用Shell脚本编写的,不需要安装其他东西,比较纯净。准备工作:一个已解析好的域名(可以用http来访问)。开启服务器的443端口防火墙。

网站提示https证书风险是什么原因?怎么解决?

有时候使用电脑浏览器遇到网站安全https证书风险的时候,浏览器提示证书风险怎么办呢?下面来教大家几个方法:

网站https安全证书过期怎么办?

当前电脑系统时间错误,所有的http安全证书都有颁发日期和截止日期,电脑系统时间在证书有效时间区间之外有可能导致浏览器提示网站https安全证书已过期或还未生效,网站的https安全证书确实已经过期

Apache环境强制跳转到https

这里用的是集成开发环境XAMPP,假设已经配置好ssl证书,不知如何申请ssl证书者请自行百度。修改Apache相关配置文件,强制所有http跳转到https,假设网站域名为xxx.com。

快速实现本地 https 预览

一般我们本地预览的时候,一般就用 localhost + 端口 就行了,再有需要的话,会类似修改 Hosts ,然后进行域名的绑定,这样我们可以借助本地 hosts 来实现对域名访问本地的服务。

https为什么能保证安全性

公钥和私钥是一对密钥对,它们可以互解密。使用公钥加密,私钥解密。能有效保证数据的安全性。但是如果使用私钥加密,公钥解密呢,则可以确定来源的合法性。因为只有知道私钥才能加密

深入理解 HTTPS 原理、过程与实践

HTTP是不安全的,我们的页面也被运营商插入过小黄图广告(数据被篡改),对于HTTP来说,再简单不过,只需要设定相应的DNS,做一个中间人攻击,再将修改后的数据返回,这一方面可能泄露用户隐私数据

点击更多...

内容以共享、参考、研究为目的,不存在任何商业目的。其版权属原作者所有,如有侵权或违规,请与小编联系!情况属实本人将予以删除!