为什么要把网站升级到HTTPS？

现在HTTPS基本上已经是网站的标配了，很少会遇到单纯使用HTTP的网站。但是十年前这还是另一番景象，当时只有几家大型互联网公司的网站会使用HTTPS，大部分使用的都还是简单的HTTP，这一切是怎么发生的呢？

为什么要把网站升级到HTTPS？

若干年前，公司开发了一款APP，其中的某些页面是用H5实现的，有一天用户向我们反馈，页面中弹出了一个广告窗口，这让当时身为开发小白的我感觉很懵逼，后来经过经验丰富的老程序员点拨，才知道这是被电信运营商劫持了，运营商拦截了服务器对用户的HTTP响应，并在中间夹带了一些私货。

一些网龄比较大的同学可能还有这样的记忆：网站页面找不到的时候，浏览器会跳转到一个运营商或者路由器厂商的网址导航页面；家里的宽带到期的时候，浏览器网页右下角会弹出续费通知。

这都是HTTP响应被劫持的表现，HTTP本身没什么安全机制，HTTP传输的数据很容易被窃取和篡改，这也是我们将网站升级到HTTPS的根本动机。

使用HTTPS有很多好处，这里稍微展开介绍一下：

• 数据加密：HTTPS通过SSL/TLS协议为数据传输过程提供了加密，即便数据在传输过程中被截获，没有密钥也无法解读数据内容。这就像是特工使用密文发送电报，即使电报内容被别人截获，没有密码表也无法解读其中的内容。

• 身份验证：使用HTTPS的网站会获得权威认证机构颁发的证书，这就像是一个“身份证”，让访问者能够确认自己访问的是官方合法的网站，有效防止钓鱼网站的风险。

• 数据完整性：因为数据传输的中间人接触不到密钥，不仅不能解密，而且也无法对数据进行加密，这就保证了数据在传输过程中不被篡改、伪造。

• 增强用户信任：由于浏览器会对HTTPS网站显示锁标志，这有助于增强访问者对网站的信任。就像是看到家门口安装了高级安全锁，人们会自然而然地觉得这家人对安全非常重视，从而更加放心。

• SEO优势：谷歌等搜索引擎已经明确表示，HTTPS是搜索排名算法的一个信号。这意味着使用HTTPS的网站在搜索结果中可能会获得更高的排名，具备更大的竞争优势。

HTTPS的发展趋势

大约从2010年开始，大型网站和安全专家开始倡导使用HTTPS，也就是在HTTP上加上SSL/TLS协议进行加密。

根据互联网安全研究机构的报告，目前超过80%的网站已经使用HTTPS。特别是那些大型电商平台和社交媒体网站，几乎100%都已经完成了从HTTP到HTTPS的升级。

不仅是企业和网站管理员在推动HTTPS的普及，各国政府和互联网安全组织也在积极推荐使用HTTPS。例如，各种浏览器都会对那些仍然使用HTTP的网站标记为“不安全”。

随着人们对网络安全意识的增强，大家也更加偏好那些使用HTTPS的网站。就像是在选择酒店的时候，你可能会更倾向于选择那些看起来保卫严密的酒店。

HTTPS的技术原理

加密技术

HTTPS 安全通信的核心在于加密技术。这里面主要涉及两种加密方式：对称加密和非对称加密。

• 对称加密：就像是你和朋友使用同一把钥匙来锁和解一个箱子。信息的发送方和接收方使用同一个密钥进行数据的加密和解密。这种方式的优点是加解密速度快，通信成本低，但缺点在于如果密钥被中间截获或者泄漏，通信就不安全了。

• 非对称加密：就像是用一个钥匙锁箱子（公钥），另一个钥匙来开箱子（私钥）。发送方使用接收方的公钥进行加密，而只有接收方的私钥能解开。这样即便公钥被公开，没有私钥也无法解密信息，从而保证了传输数据的安全。

在实际应用中，HTTPS 通常采用混合加密机制。在连接建立初期使用非对称加密交换对称加密的密钥，一旦密钥交换完成，之后的通信就切换到效率更高的对称加密。就像是先通过一个安全的箱子（非对称加密）把家门钥匙（对称加密的密钥）安全送到朋友手中，之后就可以放心地使用这把钥匙进行通信了。

SSL/TLS协议

HTTPS 实际上是 HTTP 协议跑在 TLS 协议之上，TLS的全称是 Transport Layer Security，从字面上理解就是传输层安全，保护数据传输的安全。有时候我们还会看到 SSL 这个词，SSL 其实是 TLS 的前身，它的全称是 Secure Sockets Layer，Socket 就是是TCP/UDP编程中经常接触的套接字概念，也是传输层的一个组件。

可以理解为，SSL/TLS就像是一个提供安全保护的信封，确保了信件（数据）在寄送过程中的安全。

让我们来详细探查下 HTTPS 的工作流程：

1、开始握手：当浏览器尝试与服务器建立HTTPS连接时，它首先会发送一个“Hello”消息给服务器，这个消息里包含了浏览器支持的加密方法（包括对称加密和非对称加密等）等信息。

2、服务器回应：服务器收到客户端的“Hello”之后，会选择一组客户端和服务器都支持的加密方法，然后用自己的私钥对信息进行签名，把这个签名连同服务器的SSL证书一起发送到客户端，SSL证书里包含了服务器的公钥。

3、验证证书：客户端收到服务器发过来的证书后，会首先验证证书的合法性，确保证书是可信任的CA颁发，且未被篡改。这个验证会使用浏览器或者操作系统内置的安全根证书，验证从服务器证书到根证书的所有认证链上的签名都是可信任的。

4、生成临时密钥：一旦证书验证通过，客户端就会生成一串随机密钥（也就是对称密钥）。然后，客户端会用服务器的公钥对这串随机密钥进行加密，再发送给服务器。

5、服务器解密获取对称密钥：服务器收到加密后的数据，会用自己的私钥对其解密，获取到其中的对称密钥。到这里，客户端和服务器双方就都拥有了这个对称密钥，后续的通信就可以使用这个对称密钥进行加密了。

这里我们介绍的密钥交换方式是RSA，其实TLS支持多种密钥交换机制，除了RSA，还包括Diffie-Hellman密钥交换（简称DH）、椭圆曲线Diffie-Hellman（简称ECDH）密钥交换等，或者RSA和DH的结合。DH密钥交换不需要在通信双方之间直接发送对称密钥，同时即使证书的私钥被泄露，之前的会话密钥也不能被推导出来，之前的通信也就无法被解密，这样更加安全。有兴趣的同学可以去搜索了解一下。

证书和认证机构（CA）

为了保证网站的身份真实性，HTTPS还涉及到了证书（SSL证书）的使用。这个证书由认证机构（CA）颁发，包含了网站公钥、网站身份信息等。浏览器或操作系统内置了这些认证机构的信任列表，能自动验证证书的真实性。

证书认证机构会在颁发证书前确认网站的身份，这有点像买火车票之前，需要先通过身份认证来确认你的身份。根据验证的深度和范围，证书可以分为以下几种类型：

1. 域名验证（DV）证书

这种证书只验证网站拥有者对域名的控制权。CA会通过Url文件验证或DNS记录验证等方式来确认申请者是否控制该域名。DV证书的发放速度快，成本低，但它只证明域名的控制权，不会验证组织的真实身份。

2. 组织验证（OV）证书

OV证书不仅验证域名的控制权，还要验证申请证书的组织是真实、合法且正式注册的。这就像提交某些申请时，除了要上传身份证，还要上传企业的营业执照，确认你是某个公司的员工。OV证书提供了更高级别的信任，适用于商业网站。

3. 扩展验证（EV）证书

EV证书提供了最高级别的验证。在这个过程中，CA会进行更为严格和全面的审查，包括确认申请组织的法律、运营和物理存在。这就像不仅检查身份证和营业执照，还要确认你的实际居住地址、实际办公地点等信息。EV证书为用户提供了最高水平的信任，但它的发放流程最为复杂，成本也最高。

配置HTTPS的步骤

1. 获取SSL/TLS证书

可以从阿里云、腾讯云等这些大的云计算平台申请你需要的证书，也可以从专门的证书颁发机构获取。

证书可以只针对单个域名，比如www.juejin.cn，那只能 www.juejin.cn 使用这个证书，www2.juejin.cn 不能使用这个证书；也可以配置为泛域名，比如 *.juejin.cn，那么 www.juejin.cn 和 www2.juejin.cn 都可以使用这个证书。

申请证书时会验证你的身份，比如对于DV证书，需要你在DNS中配置一个特殊TXT解析、或者在网站中放置一个特别的验证文件，证书颁发机构能够通过网络进行验证。

验证通过后，证书颁发结构会给你发放证书，包括公钥和私钥。

证书有免费版和收费版。免费版一般只针对单个域名，仅颁发DV证书，证书的有效期一般是3-12个月。普通用户为了节约成本，可以使用免费版本，通过一些程序脚本实现证书的到期自动更新。

2. 配置Web服务器

拿到证书后，需要在你的Web服务器上配置它，具体步骤取决于你使用的服务器软件（如Apache、Nginx等）。

注意HTTPS默认的监听端口是443，使用这个端口，用户访问时可以不输入端口号。

3. 强制使用HTTPS

为了确保所有数据都是安全传输的，我们可以使用重定向让用户始终访问HTTPS地址。

在Web服务器上设置，将所有HTTP请求重定向到HTTPS，用户使用HTTP时都会自动跳转到HTTPS，比如访问 http://juejin.cn 会自动跳转到 https://juejin.cn。

4. 维护和更新

证书都是有保质期的，需要在证书到期前进行续期。有时候我们还需要根据安全威胁报告，及时更新SSL/TLS的加密设置，确保它们符合最新的安全标准。

HTTPS的安全问题

HTTPS虽然大大提高了网站的安全性，但它也不是万无一失的。

1、弱加密算法

如果使用过时或不安全的加密算法，加密的数据可能会被破解。

在Web服务器配置中禁用已知不安全的SSL/TLS版本（如TLS 1.0和1.1）和弱加密套件，选择使用强加密算法，如AES_GCM或ChaCha20。

2、钓鱼网站

即使是使用HTTPS的网站，也可能是钓鱼网站，比如DV证书只验证网站的域名归属，不确认网站具体是干什么的。这就像强盗穿上快递员的制服，你很难一眼识破。

对于关键的服务，比如在线购物、上传个人信息，用户需要提高警惕，检查网站的URL，确保是访问的正确网站。

我们也可以使用浏览器提供的安全插件或服务来识别和阻止访问已知的恶意网站。

3、中间人攻击

即使使用了HTTPS，如果攻击者能够在通信双方之间插入自己，就能够监听、修改传输的数据。如果你使用过Fiddler 这种抓包程序做过前端通信调试，就很容易理解这个问题。这就像快递途中有个假冒的收发室，所有包裹都得先经过它。

要防范这个问题比较困难，用户尽量不要在公共的WiFi网络进行敏感操作，不随便下载安装可疑的文件或程序，网站运营者要确保网站的TLS配置是安全的，使用强加密算法和协议。

4、审核不严的证书

证书颁发机构审核不严或者胡乱颁发证书，比如别有用心的人通过特殊手段就能申请到google.com的证书。而且历史上也确实发生过。

2011年，荷兰证书颁发机构（CA）DigiNotar因被黑客入侵并滥发了大量伪造的SSL/TLS证书，包括对Google域名的证书，最终导致DigiNotar破产。

2016年，中国CA机构WoSign及旗下子公司StartCom被曝出多种违规操作，导致主流浏览器厂商逐步撤销对这两家CA的信任。

解决这个问题主要依赖证书颁发机构和监管机构的安全机制，浏览器和操作系统厂商也可以在问题发生后通过紧急更新来避免风险的进一步扩大，使用证书的用户如果有能力，可以通过监控CA机构发布的证书颁发日志来探查是否有未经授权的证书颁发给你的域名。