HTTPS才是王道!

2015-04-17 3,422 0

Mozilla安全工程师Richard Barnes近日发出呼吁,号召开发人员放弃不安全的HTTP协议,全面转向HTTPS。

他希望浏览器能将更多的新功能仅开放给HTTPS,从而逐渐淘汰HTTP,目的自然是提高安全性。

他在一份报告中写到:“为了鼓励Web开发人员从HTTP转向HTTPS,我想提议设置一个淘汰不安全HTTP的计划。笼统地说,该计划会将(浏览器的)新特性限制在安全环境下,然后逐渐将原有功能从不安全环境中转移出来。如果有明确的HTTP淘汰计划,那就可以高速整个Web社区,明码文本的时代要过去了。这也能告诉全世界,新的网络基于HTTPS,如果你想尝试新东西就要考虑安全性。”

他还透露说,Mozilla已经准备开始实施这个计划了,并希望了解到Web社区、其他浏览器是否同样有兴趣。

HTTP淘汰初步计划:

准备工作:定义安全环境(privileged contexts)。

第一步:X.0天后,所有新特性都必须存在于安全环境下。

第二步:X.N天后,特定的现有特性也需要处于安全环境下,并兼顾安全、兼容性。

第三步:整个Web都基于HTTPS。

很多普通公众可能并不明白,为什么自己的访问行为和隐私数据突然会被“偷走”,域名没输错,结果却跑到了一个钓鱼网站上?

当下,互联网、手机已经成为人们生活依赖度相当高的工具,但就像一把双刃剑,互联网也是一个“黑白”都存在的世界。近年来,用户数据泄露、流量劫持、页面篡改等安全事件频发,昨晚3.15晚会曝光了免费WiFi的安全问题就是一个典型的场景。对此,很多普通公众可能并不明白,为什么自己的访问行为和隐私数据突然会被“偷走”,域名没输错,结果却跑到了一个钓鱼网站上?

回答这个问题,就不得不提下HTTPS,很多人对此感觉陌生,因为互联网发展20多年,习惯了在浏览器地址里输入HTTP格式的网址。前不久,百度搜索引擎也启动了史上规模最大的一次“迁徙”,目标就是从HTTP切换到HTTPS上去,通俗来讲,就是用户搜索关键词的数据请求和页面访问,会增加一个“数据加密”的技术,中间一些“传输”过程都被加密和认证,第三方无法获取,这样就轻松化解了数据被劫持、篡改的隐患。

想一下,过去的互联网是一个单纯的娱乐、游戏、社交的虚拟空间,但随着移动互联网的兴起,特别是餐饮、电影、购物、金融理财,甚至是买汽车、租房、打车等生活服务,紧密地绑定在手机及网络上时,人们不仅是单一的获取信息,产品和服务的交易闭环也逐步成熟了。但这也进一步放大了数据安全、被劫持或泄露的风险。最近这两年,频频出现的欺诈、数据泄露往往会引发大的经济损失,也就是这个道理。

无疑,现在已经到了必须HTTPS化的时间了。

HTTPS是个什么样的世界?

先看一下,百度这次都做了哪些工作。技术术语是全站HTTPS安全加密服务,即通过对传统HTTP通道添加SSL安全套接层,将所有百度搜索请求全部变成加密状态,以此解决“中间者”对用户隐私的嗅探和劫持,为网友提供安全可靠的上网和搜索环境。

那么,HTTPS究竟是一个什么样的世界呢?接下来先普及一下知识。可以模拟一下通过互联网访问网站或服务的场景,每个访问都是一次网络连接链条的“接力游戏”,传统HTTP模式下,搜索或访问请求通过“明文信息”,经过中间的代理服务器、路由器、wifi热点、服务运营商等“中间人”的通路,最终将数据或服务“取”回来。这个“中间”渠道就存在大量的数据泄露或劫持的风险,很多双眼睛都盯着,几乎步步惊心。HTTPS通过加密的形式,防止中途被劫持或篡改,规避了风险。

你可能会说,不就是做一个从HTTP到HTTPS的切换吗?其实,背后却是一个复杂的工程。拿百度来说,因为搜索几乎是百度最核心的“内核”,连接了图片、百科、知道、贴吧、Video、地图等几乎所有的产品,数亿的用户都会影响到,个性化推荐和千人千面的趋势更如此,这就成了一件浩瀚的工程,而且还必须保持业务的连续性,不能中断业务,稳定响应用户请求,复杂度几乎是难以想象的。所以,百度去年才会从小入手开始做小流量的测试,选择用户和应用负载小的入口开始。

那么,从技术角度看,难度主要体现在哪呢,类似IPV4到IPV6的升级。首先这是一次联合作战,涉及到的所有产品和部门技术联合作战,所有的链接资源都要切到HTTPS上,产生错误就会出现空白页或访问错误;二是速度优化,任何一个加密的过程,相当于多了一次SSL握手、RSA校验,耗时变长,性能降低,而搜索页面常态下保守也会有数十个资源链接,叠加在一起,会影响访问及响应速度;三是即使全网切换,也要做好HTTPS和HTTP的过渡和兼容,referer、cookie等数据如何保持一致,避免出现访问故障;四考虑到大多数网站,CDN的内容和应用的分发已是标配,这要求所有的CDN节点都支持HTTPS,如果非自建而是第三方,更增加了难度。

百度为什么要迁移到HTTPS?

大家可能会有一个疑问,既然这么复杂的工程,涉及到巨大的投入和成本,还给产品和业务带来一定的风险,在国内大多数互联网企业纷纷“避开”时,百度凭什么敢“越雷池一步”呢?我们主要从微观和宏观两个层面探讨下。

微观层面,互联网是一个奇怪的世界,水面下总是暗流涌动,就算是技术很强悍的百度,每天有来自于全球的数十亿次的搜索请求,但其中不可避免地会有小部分的流量会遭劫持或篡改,由于区域分布散、广等特点,很难完全解决。更不要提一些小网站,所以圈儿里也有专门做流量劫持和贩卖的营生的。而反馈到用户前端,常见的现象很多,一个是搜索结果页被篡改或加载上广告,谋取商业利益;一个是比如用户刚搜了一个汽车,卖车的电话就找上门了。这都影响了用户的搜索体验,用户会误认为是百度泄露了数据,背了黑锅。这样灰色的利益链条很多,未来会高频发生。

宏观层面,未来的互联网、移动互联网越来越是一个服务交易的闭环链,意味着用户对技术的依赖度日益提升,需要一个更安全的网络承载环境,否则安全事件就会此起彼伏。另一方面,未来会是一个网络链路日趋复杂的结构,WIFI热点的普及和移动网络的加入,放大了数据被劫持、篡改的风险。这两点与传统的HTTP的网络链路模式间的矛盾日益突出。

以上两个层面,决定了百度从核心搜索入手,进行HTTPS的大迁移,从长远看,这就成了一场攻坚战。

平台迁移,应用层会更流畅过渡

其实,作为HTTP的安全版本,HTTPS并非是全新的。从全球来看,这绝对是巨头推动的工程,因为短期看是投入大、回报少,还会影响用户体验,但长期看,对产业的积极意义明显。与百度一样,谷歌去年开始,由搜索和Chrome浏览器挑头,推动往HTTPS协议的过渡,提醒网站明文传输的HTTP“不安全”。同样,Facebook、Twitter也陆续在做这样的尝试。早早规划HTTPS项目的百度这次大魄力推进,也是希望产业界认识到“HTTP = 不安全”的严重性。越是大企业,担负的也就越多,责任意识也就越强。

放眼中国,推进互联网HTTPS化,是一件关乎产业发展环境和生态的大事,就像空气和土壤一样,失去了这个,就动了根基。升级HTTPS需要联动,基础设施、网络架构、底层服务提供商都要同步转换,跨过所谓的缓存终结者、性能杀手等潜在矛盾。像BAT这样级别的企业,最应该及早动手,为产业未来搭建一个安全、稳定、可靠的网络环境。今天百度第一家站出来,敢于在核心搜索上“动手”,做出样板和参考出来,也做了一个好的示范。

互联网巨头站出来,更容易带动一批企业的整体切换,因为巨头往往搭的是平台和生态,上面跑着各种应用和服务提供商,只有平台进行“迁移”,应用层自然会流畅过渡。很多技术上的难题都容易化解。

当然,百度第一个吃螃蟹,难免要做一些开路先锋和修路搭桥的活儿,这或许也是其他同行们暂时观望的理由。但如果放在中国互联网和移动互联网的顶层设计高度看,这件事最终会惠泽产业和生态,就没理由只围观了。所以我们更期待看到在百度之后,更多的企业一起去推进完成HTTPS化的过程。

2015041702

相关文章

微软2024年10月补丁日 多个安全漏洞
ThinkPHP 的老漏洞依旧是黑客手中的大杀器
我在代码里面故意留个漏洞,违法吗?
Google Chrome 类型混淆漏洞
【漏洞】Elastic Kibana 需授权 反序列化漏洞
【严重漏洞】Apache OFBiz 未授权 服务端请求伪造漏洞 可导致远程代码执行

发布评论