给你的博客上一把锁

本文主要讲解给自己的博客或站点配置https的必要性和配置方法。

再不https都老了

说到https,可能有一个问题是大家必问的,那就是为啥要用https,我这里能给到的答案就是: 美啊。 先来一张图观赏下:

其实最重要的还是安全,在这个根本没有隐私的时代,https显得更加那么的重要。在你网站被运营商 乱插 的时候,你就会更加迫切的想要一把锁。上锁之前,我们需要对https有一定的了解,下面我们简要学习下。

六问 HTTPS

https握手会使得网站变慢?

大家最关心的就是这个协议会让我们的连接变慢,这个看起来似乎是不可避免的;毕竟建立SSL连接的过程比http多了好几次握手。所以一个https请求的过程中,握手阶段包含了 TCP协议的握手SSL协议的握手 的时间,总体上我通过工具测试大概SSL握手是TCP握手的三倍,而且证书的秘钥越长加解密时间则越多。

然而事实就这么简单吗? 非也

作为中国人,一定对GFW毕竟熟悉了,实际上根据我多年来实际的经历来看,除了GFW,其实不管是在国内的公司还是学校(甚至运营商),实际上都有监控或劫持本组织内网络流量的嫌疑。当网站使用了https,实际上这些监控系统成为摆设,既然无法拆解你的信息,他唯一的做法自然是放过,这就大大加速了数据在网络中的传输速度。所以:

使用了https表面上看起来是在连接建立阶段增加了时间,然而实际上对网站整体的速度来说,未必真的慢了。

只需要在注册登录页面使用https?

注册登录页面肯定是要做 https的,但这只能防止密码劫持,并不能防止cookie劫持和js注入等问题;这年头想劫持一个局域网络的简直易如反掌(何况还有天朝的无耻运营商可以随意注入呢),所以如今要想安全,必须全站所有页面都https

静态资源是否需要https?

如果主要页面已经https了,则你的CDN静态资源也得走https,否则浏览器会给出简单的控制台警告(对于被动混合mixed内容):

而对于主动混合内容(如js脚本),大部分浏览器会直接阻止加载,这会导致你的站点出现故障。

混合内容有两种:主动混合内容和被动混合内容

被动混合内容指的是不与页面其余部分进行交互的内容,从而使中间人攻击在拦截或更改该内容时能够执行的操作受限。被动混合内容包括图像、视频和音频内容,以及无法与页面其余部分进行交互的其他资源。

主动混合内容作为整体与页面进行交互,并且几乎允许攻击者对页面进行任何操作。 主动混合内容包括浏览器可下载和执行的脚本、样式表、iframe、flash 资源及其他代码。

不过cdn服务器遍布全球,要想把证书安装到上面可是很费劲的。所以如果想用自己的域名来实现静态资源https化,只能有这两条路:

  1. 要么自己部署cdn自己搞
  2. 要么把证书和秘钥交给自己的cdn服务商。

但是第二个办法实在是太危险了。所以CDN服务商推出了新的服务: 除了允许你上传自己的证书和私钥之外,也可以由你来申请CDN服务商的CA证书的服务。这意味着 你可以专门为使用CDN资源的这个域名申请个单独的证书,这个证书是部署到CDN服务商所有服务器的(这样就不用担心自己主业务的服务器私钥泄露给第三方)。目前国内的七牛已经提供了该服务,所以我的博客图片也顺便开启了https。

https没有缓存机制吗?

是的。不过要明确这里的缓存指的是中间网络设施的缓存,而不是客户端缓存。中间网络设施无法缓存的原因在于他们根本无法获取https报文,无法读取缓存策略。

从https的意义上来看 既然想保护信息的隐私,确实也没必要让中间设施进行缓存了。

https是否足够安全?

SSL/TLS的设计只能说是从技术上最大限度地保护网络报文的安全,但它无法防止用户自己作死;比如浏览器已经提示你证书错误(有可能网络已经被中间人劫持)的情况下你依然点击”继续访问”。

验证HTTPS证书带来的性能开销是否很大?

实际上整个证书验证的过程中,还可能因为一些其他原因导致耗时增加:

  1. 服务端发送的Server Certificate包可能包含上级证书链,在普遍使用2048位RSA的环境中,这个包会超过2K或者3K,在移动或慢速网络下可能会丢包并引起TCP的重传
  2. 浏览器会检查服务端证书的吊销状态—-根据服务端证书扩展项中的地址去下载黑名单或访问OCSP服务,如果这些地址无法访问或者被墙,则会让浏览器等上很长一段时间。 这可就蛋疼了,毕竟我们处在大中国,而浏览器都是舶来品
  3. 建立连接时的非对称加密算法本身非常耗时,这对CPU性能要求比较高。所以每次握手,对服务器来说都是一次压力的考验

怎么办呢? 我认为是没有办法的,为了安全我们必须做出这样的牺牲;当然这可以从网络协议本身来减轻这个性能和速度开销的负担,比如http2.0就已经支持了多路复用的技术,目前的http1.1也支持keep-alive,这就大大减轻了多次创建连接和握手带来的开销。

福利:免费申请https证书

Let’s Encrypt 提供了免费的https证书,目前2018年初已经开始支持 泛域名。 因此对于有多个子域的网站来说,只需要申请根域的证书,就可以应用在所有的子域上面。

申请脚本

网络上已经有写好的申请脚本,使用此脚本申请证书非常方便, 步骤如下:

1
2
3
4
curl  https://get.acme.sh | sh
export DP_Id="1234" // 需要去dnspod等域名提供商申请API Key 和 ID
export DP_Key="sADDsdasdgdsf" // API Key 和 ID
acme.sh --issue --dns dns_dp -d limefe.com -d *.limefe.com // 申请免费泛域名证书

以上命令,如果碰上curl错误,可以尝试退出当前terminal再次进入。 由于CA机构需要校验你对域名的所有权,所有你需要把你域名服务商的API接口的 API_idAPI_key 告诉 Let's Encrypt.

过期重申

Let's Encrypt申请的证书只有3个月有效期,到期需要重新申请。所幸网络上的这个 acme脚本已经实现了自动检查并重新申请的能力,我们就不用关心了。(本质上它在系统上创建了 crontab 脚本每天零点定时检查)

nginx配置https

nginx配置https其实很简单,只需要按照如下格式,将里面的证书地址和秘钥地址配置成你自己的即可。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
server {
listen 443;
server_name www.cuiyongjian.com;
ssl on;
# 下面的证书替换成自己的证书路径
ssl_certificate /root/.acme.sh/cuiyongjian.com/fullchain.cer;
# 下面的key替换成自己的证书内公钥对应的私钥路径
ssl_certificate_key /root/.acme.sh/cuiyongjian.com/cuiyongjian.com.key;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers HIGH:!aNULL:!MD5;

keepalive_timeout 70;
#add_header Strict-Transport-Security "max-age=31536000; includeSubdomains";

#charset koi8-r;
#access_log /var/log/nginx/log/host.access.log main;
access_log /root/weblogs/nginxlog/www.cuiyongjian.com.https.access.log main;
error_log /root/weblogs/nginxlog/www.cuiyongjian.com.https.error.log;

location / {
root /root/www/www.cuiyongjian.com;
index index.html index.htm;
}
}

在使用 acme.sh 脚本时,证书和秘钥key都会生成到
~/.acme.sh/yourdomain
目录下。
例如我的 cuiyongjian.com 域名证书就被生成到了
/root/.acme.sh/cuiyongjian.com/fullchain.cer;
目录下。

如果你的站点希望强制走https,那么你可以再加一个nginx的server配置项,让http请求重定向到https:

1
2
3
4
5
server {
listen 80;
server_name www.cuiyongjian.com;
return 301 https://$server_name$request_uri;
}

浏览器端查看证书

点击chrome地址栏左侧的小锁图标,可以看到当前网站的证书信息