EFF剝離HTTPS Everywhere擴展與規則集，再次提升HTTPS安全性
隨著公眾對網路安全的日益關注，各種網路安全防護手段層出不窮。HTTPS Everywhere作為提升HTTPS安全性的有效手段，日前安全性與實用性再次得到了加強。
HTTPS雖然可以有效提升用戶瀏覽網頁的安全性，可是仍有問題存在會成為黑客竊取數據的漏洞。
針對現在HTTPS存在的部分缺陷，我們可以用瀏覽器插件進行補足，比如Chrome商店的HTTPS Everywhere ，能有效降低用戶上網風險，但由於HTTPS Everywhere的擴展和規則是一體的，導致用戶必須頻繁更新到最新版的插件，影響用戶的使用。
為了解決這個問題，EFF（電子前哨基金會）將會將規則集與擴展剝離，從而實現可持續的更新。擴展安裝後，它會經常性地檢查列表，並在可用時下載最新的列表。
通過這個方法可以將HTTPS的安全性再次提升，看到這裡有的讀者就要問了，HTTPS是什麼，它為什麼可以保護我們的數據安全？
HTTPS是什麼
HTTPS（Hypertext Transfer Protocol Secure ）是一種以計算機網路安全通信為目的的傳輸協議。在HTTP下加入了SSL層，從而具有了保護交換數據隱私和完整性和提供對網站伺服器身份認證的功能，簡單來說它就是安全版的 HTTP 。
△ HTTP、HTTPS 差異
HTTPS 訪問過程
HTTPS在進行數據傳輸之前會與網站伺服器和Web瀏覽器進行一次握手，在握手時確定雙方的加密密碼信息。
具體過程如下：
1.Web 瀏覽器將支持的加密信息發送給網站伺服器；
2.網站伺服器會選擇出一套加密演算法和哈希演算法，將驗證身份的信息以證書（證書發布CA機構、證書有效期、公鑰、證書所有者、簽名等）的形式發送給Web瀏覽器；
3.當 Web 瀏覽器收到證書之後首先需要驗證證書的合法性，如果證書受到瀏覽器信任則在瀏覽器地址欄會有標誌顯示，否則就會顯示不受信的標識。當證書受信之後，Web 瀏覽器會隨機生成一串密碼，並使用證書中的公鑰加密。之後就是使用約定好的哈希演算法握手消息，並生成隨機數對消息進行加密，再將之前生成的信息發送給網站；
△ Chrome 瀏覽器 HTTPS安全標識
4.當網站伺服器接收到瀏覽器發送過來的數據後，會使用網站本身的私鑰將信息解密確定密碼，然後通過密碼解密Web瀏覽器發送過來的握手信息，並驗證哈希是否與Web瀏覽器一致。然後伺服器會使用密碼加密新的握手信息，發送給瀏覽器；
5.最後瀏覽器解密並計算經過哈希演算法加密的握手消息，如果與服務發送過來的哈希一致，則此握手過程結束後，伺服器與瀏覽器會使用之前瀏覽器生成的隨機密碼和對稱加密演算法進行加密交換數據。
△ HTTPS 握手過程
HTTPS 加密演算法
為了保護數據的安全，HTTPS 運用了諸多加密演算法：
1.對稱加密：有流式、分組兩種，加密和解密都是使用的同一個密鑰。
例如：DES、AES-GCM、ChaCha20-Poly1305 等。
2.非對稱加密：加密使用的密鑰和解密使用的密鑰是不相同的，分別稱為：公鑰、私鑰，公鑰和演算法都是公開的，私鑰是保密的。非對稱加密演算法性能較低，但是安全性超強，由於其加密特性，非對稱加密演算法能加密的數據長度也是有限的。
例如：RSA、DSA、ECDSA、 DH、ECDHE 等。
3.哈希演算法：將任意長度的信息轉換為較短的固定長度的值，通常其長度要比信息小得多，且演算法不可逆。
例如：MD5、SHA-1、SHA-2、SHA-256 等。
4.數字簽名：簽名就是在信息的後面再加上一段內容（信息經過 hash 後的值），可以證明信息沒有被修改過。hash 值一般都會加密後（也就是簽名）再和信息一起發送，以保證這個 hash 值不被修改。
又拍雲讓網路訪問更安全
除了EFF、Google等組織在讓HTTPS更安全之外，又拍雲也一直致力於提升HTTPS的安全性。
從分散式 Session 復用、OCSP Stapling、HSTS、HTTP/2、False Start、ChaCha20-Poly1305 演算法以及TLS1.3等等，又拍云為提升HTTPS的安全性，在多方面不斷進行嘗試，並且成功的將這些功能與又拍雲CDN聯合，只要使用又拍雲CDN即可一鍵開啟HTTPS優化。
又拍雲HTTPS為客戶創造更多的價值，為互聯網用戶帶來更快的訪問體驗。
TAG:又拍雲 |