SSL和TLS部署实践指南
|
使用太短的密码肯定是不安全的，但使用太长的密码也不一定安全，比如会导致操作的复杂。对于大多数网站来说，使用强于2048位的RSA密钥以及使用强于256位的ECDSA密钥会浪费CPU功耗，并可能会损害用户体验。类似地，增加临时密钥交换的强度对于DHE为2048位以及ECDHE为256位几乎没有什么好处，使用高于128位的加密也没有明显的好处。 使用会话重用机制 由于SSL握手的非对称运算无论是RSA还是ECDHE，都会消耗性能，故为了提高性能，对于之前已经进行过握手的SSL连接，尽可能减少握手round time trip以及运算。 SSL提供2中不同的会话复用机制。 （1）session id会话复用； （2）session ticket会话复用，Session id会话复用有2个缺点，其一就是服务器会大量堆积会话，特别是在实际使用时，会话老化时间配置为数小时，这种情况对服务器内存占用非常高。 使用广域网优化 广域网优化（WAN optimization），通常也被称为广域网加速（WAN acceleration），即通过一些优化技术来提供高性能的远程数据访问，从而提高应用程序在广域网上的性能。 缓存公共内容 通过TLS进行通信时，浏览器可能会把所有流量都视为敏感数据。这样，它们通常会使用内存来缓存某些资源，但一旦关闭浏览器，所有内容都可能会丢失。为了获得性能提升并实现对某些资源的长期缓存，可以将公共资源（例如图像）标记为公开。 启用OCSP Stapling OCSP (Online Certificate Status Protocol) 通常由 CA 提供，用于在线实时验证证书是否合法有效，这样客户端就可以根据证书中的 OCSP 信息，发送查询请求到 CA 的验证地址，来检查此证书是否有效。 而 OCSP Stapling ，顾名思义，是将查询 OCSP 接口的工作交给服务器来做，服务器除了可以直接查询 OCSP 信息，还可以仅进行少数次查询并将响应缓存起来。当有客户端向服务器发起 TLS 握手请求时，服务器将证书的 OCSP 信息随证书链一同发送给客户端，从而避免了客户端验证会产生的阻塞问题。由于 OCSP 响应是无法伪造的，因此这一过程也不会产生额外的安全问题。 使用快速加密原语 尽可能使用支持硬件加速AES的CPU，如果你真的想要进一步提高性能，请考虑使用ECDSA密钥。 HTTP的加密 加密整个网站，加密的问题可能是当今最大的安全问题之一，比如： （1）没有TLS的网站 （2）具有TLS但不执行TLS的站点 （3）混合了TLS和非TLS内容的网站，有时甚至在同一网页内 （4）编程错误的网站会破坏TLS 删除混合内容 即使你加密了整个网站，仍然可能会从第三方网站中检索出未加密的一些资源。混合内容页面是通过TLS传输但是包含不通过TLS传输的资源（例如，JavaScript文件，图像，CSS文件）的页面。这样的页面非常不安全，这些不受保护的JavaScript资源会被中间人攻击所利用，例如劫持整个用户会话。 了解第三方服务 多数网站都是通过从另一台服务器下载的JavaScript代码来激活的第三方服务比如Google Analytics。包含第三方代码的网站会创建一个隐含的信任连接，有效地使对方完全控制你的网站。虽然第三方连接可能不是恶意的，但是这些服务背后的厂商可能被攻击，比如，如果一个服务器被攻击，那攻击者将自动访问所有依赖该服务器的站点。 安全设置Cookie 为了在保持性能的前提下，实现安全，网站需要TLS，而且所有的Cookie在创建时都被明确标记为安全的。否则就有可能被MITM攻击者利用，建议大家为你的Cookie添加加密完整性验证。 安全的HTTP压缩 CRIME攻击通过利用压缩过程中的漏洞，可解密部分安全连接。而禁用TLS压缩可防止这种攻击。另外要注意，HTTP压缩可能被TIME和BREACH攻击利用。与TLS压缩不同，HTTP压缩是必需的，不能关闭。因此，为了解决这些攻击，需要对应用程序代码进行更改。 配置使用HTTP严格传输安全(HSTS) 要激活HSTS保护，你可以向你的网站添加一个新的响应头。之后，支持HSTS的浏览器就会执行它。通过自动将所有明文链接转换为安全的链接，来实现了这一目标。 建议大家添加对HSTS的支持，这是为TLS安全性做出的最重要的保障。为了获得最佳安全效果，请考虑使用HSTS预加载，将HSTS配置嵌入到浏览器中。只要是在有效期内，浏览器都将直接强制性的发起HTTPS请求。 部署内容安全策略（CSP） 敏感内容作出处理 由于使用基于云的应用平台正在增加，所以为了让所有敏感内容只让接收方收到，你必须小心对敏感内容作出处理。 【编辑推荐】
点赞 0 （编辑：核心网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
