【专家坐堂】全站 HTTPS——如何规划、部署、优化？（获奖名单已公布）

Godbach

在本次图书出版活动中，获得《HTTPS权威指南-在服务器和Web应用上部署SSL TLS和PKI》的网友有：
@GB_juno
@forgaoqiang

@devil3380

@ccjsj1

@撒加

@c3po

请以上获奖者在2017年1月20日前将姓名，公司，职务，行业，电话，邮箱，QQ，地址，站内短信发送给王楠w_n以便及时给您快递奖品。

由于年底快递业务已停，将于2月6日开始陆续发放图书。

发不了站短的，请在原帖下方跟帖留言。

至于QQ现因两个编辑轮番值班登陆，可能会有遗漏的情况，有任何问题请尽量在原帖下方跟帖留言或在站务版块反馈，谢谢！

注：因特殊原因，每次活动的获奖者我都会通知各位，如果大家在截止日期之前还未联系到管理员，那么本次活动的得奖资格将被取消，所以请大家及时的与管理员取得联系，谢谢合作！

============================================================

背景介绍：

2015 年阿里天猫、淘宝支持全站 HTTPS，并经历了两次双十一的洗礼，稳定的支撑了天量的交易。在此之前，百度的搜索也启用了 HTTPS。HTTPS 最直接的优势就是避免页面劫持。当然，随着各大主流浏览器对 HTTP/2 的支持，以及未来会将 HTTP 网站标记为不安全的等诸多因素，网站 HTTPS 是一个必然的趋势。

讨论话题（包括但不限于）

1.    网站改造 HTTPS 过程中跳过的坑或者要注意的问题

2.    影响甚至导致无法全站 HTTPS 的痛点或者障碍

3.    证书申请以及私钥管理上的一些注意事项

4.    部署 HTTPS 后，优化手段、遇到的问题以及解决方法

5.    负载均衡下或者 CDN 中部署 HTTPS 的一些经验

欢迎任选一个到多个话题畅所欲言。

特邀嘉宾：

杨洋（InfoHunter）前阿里巴巴 SSL/TLS、密码学和网络安全领域专家，曾负责阿里巴巴集团全站 HTTPS 和七层 DDoS 防御产品的核心设计和研发， 图书《HTTPS权威指南-在服务器和Web应用上部署SSL TLS和PKI》译者之一。

活动时间

2016.11.28--2016.12.27

活动奖励：

参与讨论质量最优秀的会员奖励《HTTPS权威指南-在服务器和Web应用上部署SSL TLS和PKI》图书一本，共6 本。

作者： [英] Ivan Risti   
译者： 杨洋 李振宇 蒋锷 周辉 陈传文
丛书名： 图灵程序设计丛书
出版社：人民邮电出版社
ISBN：9787115432728
上架时间：2016-8-25
出版日期：2016 年9月
开本：16开
页码：436
版次：1-1
所属分类：计算机 > 计算机网络 > 网络协议 > 综合

内容简介：本书是集理论、协议细节、漏洞分析、部署建议于一体的详尽Web应用安全指南。书中具体内容包括：密码学基础，TLS协议，PKI体系及其安全性，HTTP和浏览器问题，协议漏洞；最新的攻击形式，如BEAST、CRIME、BREACH、Lucky 13等；详尽的部署建议；如何使用OpenSSL生成密钥和确认信息；如何使用Apache httpd、IIS、Nginx等进行安全配置。


试读样章： 第1章　SSL、TLS和密码学.doc (525.29 KB, 下载次数: 218)

2016-11-28 17:05 上传

点击文件名下载附件

devil3380

Godbach 发表于 2016-12-24 21:25
回复 59# 撒加

ssl_fc_sni 和 req.ssl_sni （HAProxy v1.7 不推荐使用 req_ss ...

dscyw

Https为数不多的干货

Godbach

回复 61# 撒加
是的。现在已经 1.8-dev 了。

不过 1.6 及之后版本确实增加了不少的新特性的。以后你会有用到的时候。

撒加

回复 60# Godbach

收到，看来还是用ssl_fc_sni更合适。
haproxy的版本发布太快了，我们采用1.5.18，这1.7.1都发布了

Godbach

回复 59# 撒加

ssl_fc_sni 和 req.ssl_sni （HAProxy v1.7 不推荐使用 req_ssl_sni）最根本的区别：

• ssl_fc_sni 是在 SSL offload 开启的情况下匹配 SNI 的。也就是，你配置 bind 的时候，还需要明确开启了 SSL，配置了证书和私钥。这个情况下，OpenSSL 库本身就帮你获取了这些信息的。
• req.ssl_sni 是在没有 SSL offload 时使用的。也就是你只配置了 TCP 模式，并且没有配置 SSL。其实就是一个 DPI（深度报文检测） 的过程，从 client 端的 TCP 请求数据中识别出来是 SSL 的传输，然后再此基础上提取 SNI。
  

这个应该是在 HAProxy 引入 SSL 之后，就是这么个区别的。当时我搞 SSL 的时候，特意看了一下这个区别。

撒加

回复 58# Godbach

在查阅相关资料的时候，发现个现象就是如果仅仅是Haproxy启用HTTPS，要使用SNI的话，用的指令是req.ssl_sni，如果是启用HTTPS且私用ALPN支持HTTP/2，看到使用的指令是ssl_fc_sni

Godbach

回复 56# 撒加

1.6 Nginx使用SNI问题不大，Haproxy还是有点差别的，比如普通的HTTPS和HTTP/2，用到的参数貌似还不一样，比如req.ssl_sni和ssl_fc_sni（还请Godbach简单聊聊啊）

这个地方你的问题再具体一点？ 你是说 HAProxy 对 SNI 的支持问题吗？

Godbach

回复 56# 撒加
分析的内容很丰富啊。

撒加

回复 55# Godbach

目前的研究成果也就这些了，后续再补充HTTP/2的，哈哈

Godbach

回复 54# 撒加

灰常给力。赞一个！