文档

HTTPS相关常见问题

更新时间:

HTTPS是以安全为目标的HTTP通道,为CDN的网络内容传输提供了更好的保障。客户端在极速访问内容的同时,可以更安全有效地浏览网站内容。本文为您介绍关于HTTPS的常见问题。

什么是HTTPS?

超文本传输安全协议HTTPS(Hypertext Transfer Protocol Secure),是一种在HTTP协议基础上进行传输加密的安全协议,能够有效保障数据传输的安全。HTTP协议以明文方式发送内容,不提供任何方式的数据加密。HTTPS协议是以安全为目标的HTTP通道,简单来说,HTTPS是HTTP的安全版,即将HTTP用SSL或TLS协议进行封装,HTTPS的安全基础是SSL或TLS协议。HTTPS提供了身份验证与加密通讯方法,被广泛用于万维网上安全敏感的通讯,例如交易支付。当您在阿里云CDN上配置HTTPS时,需要提供域名对应的证书,并将证书部署在全网CDN节点,实现全网数据加密传输。

常见的HTTP攻击类型有哪些?

HTTPS只是安全访问的其中一环,如需全面保证网络安全,则还需要接入WAF、DDoS等防御能力,以下为常见的HTTP攻击类型:

  • SQL注入:利用现有应用程序,可以将恶意的SQL命令注入到后台数据库引擎中并执行。也可以通过在Web表单中输入恶意SQL语句得到一个存在安全漏洞的网站上的数据库,而不是按照设计者意图去执行SQL语句。

  • 跨站脚本攻击:跨站脚本攻击XSS(Cross-site scripting)是最常见和基本的攻击Web网站的方法。攻击者在网页上发布包含攻击性代码的数据。当浏览者看到此网页时,特定的脚本就会以浏览者用户的身份和权限来执行。通过XSS可以较容易地修改用户数据、窃取用户信息。

  • 跨站请求伪造攻击:跨站请求伪造CSRF(Cross-site request forgery)是另一种常见的攻击。攻击者通过各种方法伪造一个请求,模仿用户提交表单的行为,从而达到修改用户的数据或者执行特定任务的目的。为了假冒用户的身份,CSRF攻击和XSS攻击通常会相互配合,但也可以通过其它手段,例如诱使用户单击一个包含攻击的链接。

  • Http Headers攻击:使用浏览器查看任何Web网站,无论您的Web网站采用何种技术和框架,都用到了HTTP协议。HTTP协议在Response header和content之间有一个空行,即两组CRLF(0x0D 0A)字符,这个空行标志着headers的结束和content的开始,攻击者可以利用这一点。只要攻击者有办法将任意字符注入到Headers中,这种攻击就可以发生。

  • 重定向攻击:一种常用的攻击手段是“钓鱼”。钓鱼攻击者通常会发送给受害者一个合法链接,当您访问链接时,会被导向一个非法网站,从而达到骗取用户信任、窃取用户资料的目的。为防止这种行为,我们必须对所有的重定向操作进行审核,以避免重定向到一个危险的地方。常见解决方案是白名单,将合法的要重定向的URL添加到白名单中,非白名单上的域名重定向时拒绝。第二种解决方案是重定向token,在合法的URL上加上token,重定向时进行验证。

站点只有登录才需要HTTPS吗?

不是。您需要从以下几个方面来分析:

  • 从安全方面来看:一些页面为HTTP,一些页面为HTTPS,当通过HTTP或不安全的CDN服务加载其他资源(例如JS或CSS文件)时,网站也存在用户信息暴露的风险,而全站HTTPS是防止这种风险最简单的方法。

  • 从性能方面来看:当网站存在HTTPS和HTTP两种协议时,跳转需对服务器进行大量的重定向,当这些重定向被触发时会减慢页面的加载速度。

  • 从全网来看:浏览器对HTTPS的支持会更友好,搜索引擎也对HTTPS的收录有更好的支持。

配置HTTPS时,需要配置哪些证书?

如果您仅需要加密客户端至CDN节点的请求,在CDN上配置HTTPS证书即可。

如果您需要配置全链路HTTPS访问,需要在CDN上配置HTTPS证书并在源站上配置HTTPS证书,详情请参见:什么是HTTPS加速

开启CDN的HTTPS加速后会额外收费吗?

会额外收费。开启CDN的HTTPS加速,实际开启的是客户端到CDN边缘节点这段链路的HTTPS。因为SSL协议的握手和内容解密都需要计算,所以会增加CDN服务器的CPU资源损耗,但不会增加您源站服务器的资源损耗,因为CDN边缘节点到您源站这段链路使用的仍然是HTTP协议,不会额外增加您源站的损耗。

如果您购买不同类型的证书,则需要额外付费。您也可以登录阿里云数字证书管理服务控制台申请个人测试证书(免费版)。个人测试证书(免费版)等级为DV,每个加速域名可以申请一个个人测试证书(免费版),证书有效期为3个月,到期后可以免费自动续签。设置好HTTPS证书后,该域名在CDN上的所有HTTPS请求数会收费。静态HTTPS请求数收费请参考HTTPS请求数计费

IP黑白名单、User-Agent 黑名单、请求返回403/404时,HTTPS请求数是否会被计费?

HTTPS请求数会被计费,当命中某些策略规则,返回403和404的状态码时,该请求是被正确响应了的,所以会被记一次HTTPS请求数;该条请求由于不携带任何的资源内容,所以请求的流量会非常小,计费流量也极小。

源站已经配置了HTTPS,CDN上还需要配置HTTPS吗?

HTTPS是客户端和服务端的交互,未使用CDN之前,是客户端直接和源站交互,因此源站需要配置HTTPS。使用CDN之后,是客户端和CDN交互,如果您需要以HTTPS的形式访问CDN,则必须在CDN上配置HTTPS证书。在CDN上配置HTTPS证书的方法,请参见配置HTTPS证书

开启HTTPS加速会消耗更多资源或降低访问速度吗?

当源站开启HTTPS时,相比于源站通过HTTP访问在计算资源的消耗上会有所增加,主要来自于HTTPS握手过程中对非对称加解密时的消耗,尤其在高并发情况下资源消耗增长明显。对称加解密消耗与HTTP基本一致,因此需要增加Session复用率,但直接通过HTTPS访问源站相比于直接通过HTTP访问源站耗时更长。

通过全站加速进行全链路HTTPS访问时,SSL握手的平均时间会有所缩短,在高并发情况下,对于源站Session复用率会有明显的提高,源站资源消耗会有所降低。

  • 对于静态内容:通过边缘分发的方式,在增加握手时间消耗的同时,减少了传输时间的消耗,因此整体访问上会有所减少,且静态资源无需回源,减少了源站的交互,可以降低源站的资源消耗。

  • 对于动态内容:在路径选择上比通过传统公网访问更加可控且路径最优,动态请求必须回源,通过全站加速的网络回源,可以增加Session复用率,整体传输速度会有所提升。由于动态请求必须回源,因此非对称加解密必不可少,源站的资源消耗会有所增加。但通过全站加速回源形成了全链路HTTPS访问的方式,整体资源消耗上最优。

如何配置HTTPS证书?

您可以在CDN控制台中配置HTTPS证书,具体操作请参见配置HTTPS证书

上传HTTPS证书,提示证书重复怎么办?

当您上传自定义上传(证书+私钥)类型的证书时,如果系统提示证书重复,您需要修改证书名称后再重新上传。

上传第三方证书时,有多个.crt证书,如何上传证书?

中级机构颁发的证书文件包含多份证书,您需要将服务器证书与中间证书拼接成一份完整的证书后再上传。

通过文本编辑器打开所有*.PEM格式的证书文件,将服务器证书放在第一位,中间证书放在第二位,证书之间不能有空行。通常情况下,证书颁发机构颁发证书时会有对应的说明,请注意查阅规则说明。

拼接后的证书如下图所示。

拼接后的PEM格式证书

配置HTTPS证书时提示“证书格式不对”,如何进行转换?

HTTPS配置仅支持PEM格式的证书,不同的证书颁发机构对证书内容的上传有不同的要求,具体格式要求请参见证书格式说明。如果您的证书格式不是PEM,请完成格式转换后再上传,具体请参见证书格式转换方式

源站的HTTPS证书更新了,CDN上需要同步更新吗?

不需要。源站的HTTPS证书更新后不会影响CDN上的HTTPS证书,当您在CDN上配置的HTTPS证书将要到期或者已经到期时,您才需要在CDN上更新HTTPS证书。具体操作请参见配置HTTPS证书

配置HSTS时,打开包含子域名后,子域名上是否需要打开HSTS?

子域名上无需打开HSTS,打开“包含子域名”后,HSTS策略将在全部子域名中生效,请确保各子域名支持正常HTTPS访问,否则子域名将无法访问。

已经配置了HTTPS,为什么客户端还是HTTP访问?

客户端是以HTTP访问还是HTTPS访问完全是客户端的行为,如果您希望客户端强制使用HTTPS访问,可以在CDN上开启强制HTTPS跳转。具体操作请参见配置强制跳转