标题: 网页传输加密以HTTPS为主 [打印本页] 作者: mmsl 时间: 2015-9-28 16:59 标题: 网页传输加密以HTTPS为主 HTTPS 是什么？
如果你其实连 HTTPS 是啥都不知道，你可以先看看这篇文章。
简单地讲， HTTPS 是加过密的 HTTP。 这样，由于网路上传输的数据是加密的，在浏览网页时，除了你自己可以看到你在看什么网页，第三方是无法得知你在干什么的。
保护私密数据其实是 HTTPS 过去十几年中起到的最大作用了。
比如你登入了你的邮箱，或者是你的网上银行，一旦使用 HTTPS，那么数据在网上就不再是明文，于是第三方就看不到你的密码和你的邮件。这个就是为什么 HTTPS 过去十几年，都是用在邮箱、金融等特别需要隐私的领域。
HTTPS 怎么来的？
几年前， 一位挪威同事刚从谷歌开会回来，我在走廊上面遇到他，看他一副垂头丧气的样子，随便问了一句 “你和谷歌会开得怎么样啊”。
挪威同事叹了口气 ：“谷歌的人尼玛都活在 5 年以后啊”。
那个时候我年幼无知，还不能了解这句话的真实含义，直到最近加入 Chromium 安全讨论组，才真正了解到这句话背后的气势。
基本上 Chromium 安全讨论组里面充斥着的都是这种话题：
我们要马上淘汰SHA-1！ 因为 SHA-1 强度太低了。虽然预计再过几年就可能会被破解， 我们今天就淘汰它吧。
SSL 状态放到 HTTP cache 可能会受到攻击，需要马上改!
TLS DH group size 最少应该提高到1024 bit， 因为 INRIA, Microsoft Research, John’s Hopkin 大学已经证明低强度的 TLS DH group 不安全了。
人家证明的是 512 bit 不安全， 768 bit 估计可能会被大学级别的资源破解， 你上来就最低 1024 bit，还给不给活路了啊——
We carried out this computation against the most common 512-bit prime used for TLS and demonstrate that the Logjam attack can be used to downgrade connections to 80% of TLS servers supporting DHE_EXPORT. We further estimate that an academic team can break a 768-bit prime and that a nation-state can break a 1024-bit prime.
（我们按照这个计算方法可以破解使用 512 位质数加密的 TLS 链接。 同时也展示了 Logjam 攻击可以用来对 80% 的支持 DHE_EXPORT 的 TLS 服务器的链接进行降级。我们进一步估计一个学术团队，以其掌握的资源的知识，有可能破解一个 768 位的质数， 而一个国家的力量可能破解一个 1024 位的质数。）
好吧， 谷歌兄们都是想得很远的。
有一个每天“杞人忧天”的安全组其实也不是坏事，最近 Flash 爆出 0 day 漏洞的时候其实 Chromium 安全组两年前就警告过像 Flash 这种 NPAPI 插件是有安全问题的，说明安全组的同学们还是很有先见之明的，关于 NPAPI 插件问题之前我在雷锋网专栏文章里面提到过：谷歌浏览器禁止Flash？少年，你不是当真了吧？
神经质一样地活在未来的安全组最近发布了一个二季度总结：TOC-Q2-2015
今天就讲讲里面一个很有意思的东西：
安全组的同学说，我们认为(全面) 转向使用 HTTPS 是保证安全唯一途径。号召大家都转向 HTTPS：
We see migration to HTTPS as foundational to any security whatsoever, so we’re actively working to drive# MOARTLS across Google and the Internet at large.
这个说法其实一季度的时候就已经碎碎念了一次， 二季度报告里面，居然又放进去了。
实际上，如果你稍微留意一下，你会发现很多国外的网站已经开始这样做了。
为了安全，转向HTTPS？
What！发生了什么？为什么大家突然纷纷摒弃 HTTP 全面投入 HTTPS 的怀抱呢？而且谷歌还在大力推行，建议每一个网站，都换为 HTTPS！
要知道，HTTP 已经存在快 20 年了。 而从 HTTP 迁移到 HTTPS 对大部分网站来说，是一个不小的决定：
HTTPS 对硬件的要求要比 HTTP 高， 这个意味着更大的开销， 而更大的开销也就意味着需要花费更多的资金购买服务器。其他架构上面带来的成本可能就跟不用说了。
一定是发生了什么？！
可是看个白宫网站应该不算是隐私吧，为何这个也需要 HTTPS 来传输呢？
原因其实是： HTTP 这个在天真无邪时期诞生的协议，这几年彻底被一帮黑客玩残了。
1、黑客们发现 HTTP 明文传输不仅会泄露数据，也会很容易被注入数据。
万维网在诞生的时候怎么也没有想到， 一个以查资料为目的的网络，最后会变成一个无所不能的平台。越来越多的商业行为从线下迁移到了线上。很多公司们开始在线上卖东西、卖内容、卖服务、打广告。
而一帮黑客们突然发现，有些东西虽然是明文在网上传输的，看着没有什么意思，但是我可以修改内容或者添加里面的内容啊。 这个有点像一个邮递员每天都在投递明信片，虽然明信片上的内容看起来并没有什么卵用。突然有一天，这个邮递员想，其实我还可以修改明信片的内容啊， 比如加上一句 “请立即向 XX 账户汇款 5000 元” 等等。
下面是个很典型的截图：