本文介绍了HTTPS安全加速的工作原理、优势、注意事项和操作步骤。您可以通过开启HTTPS安全加速,实现客户端和CDN节点之间请求的HTTPS加密,保障数据传输的安全性。

背景信息

HTTP协议以明文方式发送内容,不提供任何方式的数据加密。HTTPS协议是以安全为目标的HTTP通道,简单来说,HTTPS是HTTP的安全版,即将HTTP用SSL/TLS协议进行封装,HTTPS的安全基础是SSL/TLS协议。HTTPS提供了身份验证与加密通讯方法,被广泛用于万维网上安全敏感的通讯,例如交易支付。

工作原理

在阿里云CDN控制台开启的HTTPS协议,将实现客户端和阿里云CDN节点之间请求的HTTPS加密。CDN节点返回从源站获取的资源给客户端时,按照源站的配置方式进行。建议源站配置并开启HTTPS,实现全链路的HTTPS加密。

HTTPS加密流程如下图所示。流程图
  1. 客户端发起HTTPS请求。
  2. 服务端生成公钥和私钥(可以自己制作,也可以向专业组织申请)。
  3. 服务端把相应的公钥证书传送给客户端。
  4. 客户端解析证书的正确性。
    • 如果证书正确,则会生成一个随机数(密钥),并用公钥随机数进行加密,传输给服务端。
    • 如果证书不正确,则SSL握手失败。
    说明 正确性包括:证书未过期、发行服务器证书的CA可靠、发行者证书的公钥能够正确解开服务器证书的发行者的数字签名、服务器证书上的域名和服务器的实际域名相匹配。
  5. 服务端用之前的私钥进行解密,得到随机数(密钥)。
  6. 服务端用密钥对传输的数据进行加密。
  7. 客户端用密钥对服务端的加密数据进行解密,拿到相应的数据。

功能优势

HTTPS安全传输的优势:
  • HTTPS安全传输,有效防止HTTP明文传输中的窃听、篡改、冒充和劫持风险。
  • 数据传输过程中对您的关键信息进行加密,防止类似Session ID或者Cookie内容被攻击者捕获造成的敏感信息泄露等安全隐患。
  • 数据传输过程中对数据进行完整性校验,防止DNS或内容遭第三方劫持、篡改等中间人攻击(MITM)隐患,详情请参见使用HTTPS防止流量劫持
  • HTTPS是主流趋势:未来主流浏览器会将HTTP协议标识为不安全,谷歌浏览器Chrome 70以上版本以及Firefox已经在2018年将HTTP网站标识为不安全,若坚持使用HTTP协议,除了安全会埋下隐患外,终端客户在访问网站时出现的不安全标识,也将影响访问。
  • 主流浏览器对HTTPS网站进行搜索加权,主流浏览器均支持HTTP/2,而支持HTTP/2必须支持HTTPS。无论从安全、市场或用户体验来看,普及HTTPS是未来的一个方向,所以强烈建议您将访问协议升级到HTTPS。

应用场景

主要将应用场景分为五类,如下表所示 。
应用场景 说明
企业应用 若网站内容包含CRM、ERP等信息,这些信息属于企业级的机密信息,若在访问过程中被劫持或拦截窃取,对企业是灾难级的影响。
政务信息 政务网站的信息具备权威性,正确性等特征,需预防钓鱼欺诈网站和信息劫持,避免出现信息劫持或泄露引起社会公共的信任危机。
支付体系 支付过程中,涉及到敏感信息如姓名,电话等,防止信息劫持和伪装欺诈,需启用HTTPS加密传输,避免出现下单后,下单客户会立即收到姓名、地址、下单内容,然后以卡单等理由要求客户按指示重新付款之类诈骗信息,造成客户和企业的双重损失。
API接口 保护敏感信息或重要操作指令的传输,避免核心信息在传输过程中被劫持。
企业网站 激活绿色安全标识(DV或OV)或地址栏企业名称标识(EV),为潜在客户带来更可信、更放心的访问体验。

操作步骤

  1. 购买云盾证书

    开启HTTPS安全加速需具备匹配加速域名的证书。您可在 云盾证书服务 中,根据业务需要快速申请免费证书或购买高级证书。免费证书

  2. 配置HTTPS证书。
    1. 登录视频点播控制台
    2. 在点播控制台左侧导航栏的配置管理区域。
    3. 单击分发加速配置 > 域名管理,进入域名管理页面。
    4. 选择您要配置的域名,单击配置
      配置
    5. 单击HTTPS配置,在HTTPS证书区域,单击修改配置
      修改HTTPS配置
    6. 修改配置。
      HTTPS设置

      参数和说明如下表所示。

      参数 说明
      证书类型
      • 云盾

        您可以在SSL证书服务控制台快速申请各种品牌及各种类型证书。

        当您申请完云盾免费证书之后,证书类型可选择云盾,选择您申请的免费证书。

        • 免费证书通常会在1~2个工作日签发。等待期间,您也可以重新选择上传自定义证书或云盾证书。
          说明 根据CA中心审核流程,您申请的证书有可能会在几个小时内完成签发,也有可能需要2个工作日才完成签发,都属于正常现象,请您耐心等待即可。
        • 免费证书有效期为1年,在您使用过程中,如果关闭了HTTPS安全加速,当再次开启使用免费证书时,将直接使用已申请但未过期的证书。若开启时证书已过期,您需要重新申请免费证书。
      • 自定义
        如果证书列表中无当前适配的证书,您可以选择自定义上传。您需要在设置证书名称后,上传证书内容和私钥,该证书将会在阿里云云盾的证书服务中保存。您可以在我的证书中查看。
        说明 上传自定义类型的证书时,如果提示证书重复,您可以修改证书名称后再重新上传。
      证书名称 证书类型选择云盾自定义时,需要配置证书名称。
      内容 证书类型选择自定义时,需要配置该参数。配置方法请参考内容输入框下方的pem编码参考样例
      私钥 证书类型选择自定义时,需要配置该参数。配置方法请参考私钥输入框下方的pem编码参考样例
  3. 单击确定完成配置。

后续步骤

更新HTTPS证书1分钟后全网生效。您可以验证证书是否生效,使用HTTPS方式访问资源,如果浏览器中出现绿色HTTPS标识,则HTTPS安全加速生效。验证结果