近日(rì)，百(bǎi)度宣布全站(zhàn)開啟(qǐ)HTTPS加密搜索。據(jù)官(guān)方(fāng)表(biǎo)示(shì)，為(wéi)解決“中間(jiān)者”對用戶隱私的嗅(xiù)探(tàn)和(hé)劫(jié)持等問(wèn)題，百(bǎi)度(dù)將對(duì)傳統(tǒng)HTTP通(tōng)道添加(jiā)SSL安全(quán)套接層，將所有(yǒu)百度搜索(suǒ)請求全(quán)部變(biàn)成(chéng)加(jiā)密(mì)狀(zhuàng)態。
•百度已(yǐ)啟用全(quán)站(zhàn)HTTPS加密(mì)搜(sōu)索(suǒ)
•如何看待(dài)百(bǎi)度全(quán)站搜索(suǒ)進(jìn)入HTTPS時代(dài)？
實(shí)際上(shàng)，一(yī)些國際網(wǎng)站(zhàn)，比(bǐ)如維基百科(kē)，在啟用HTTPS前先會(huì)考慮自(zì)己計(jì)算能力(lì)是(shì)否可以承(chéng)載(zǎi)HTTPS。那(nà)麼(mó)問(wèn)題(tí)來了，HTTPS要比HTTP多(duō)用(yòng)多少服務(wù)器資(zī)源？
以(yǐ)下為(wéi)知(zhī)乎網友牟旭東的(dí)觀點：
HTTPS其實就是建構(gòu)在SSL/TLS之上的 HTTP協議，所以要(yào)比較HTTPS比(bǐ)HTTP多用多少服務(wù)器資源(yuán)，主(zhǔ)要看(kàn)SSL/TLS本(běn)身(shēn)消耗多少服(fú)務器資源。
HTTP使用TCP 三次握手(shǒu)建(jiàn)立連接(jiē)，客戶端(duān)和(hé)服務器需(xū)要交換3個(gè)包(bāo)，HTTPS除(chú)了 TCP 的三個包，還要(yào)加上 ssl握(wò)手(shǒu)需要的(dí)9個(gè)包，所(suǒ)以一共(gòng)是12個(gè)包(bāo)。HTTP 建(jiàn)立連接，按照(zhào)下(xià)麵(miàn)鏈接中針(zhēn)對(duì)Computer Science House的(dí)測(cè)試，是(shì)114毫秒(miǎo)；HTTPS建立連接，耗費436毫(háo)秒。ssl 部分(fēn)花費(fèi)322毫(háo)秒(miǎo)，包(bāo)括(kuò)網(wǎng)絡(luò)延(yán)時(shí)和ssl 本(běn)身加(jiā)解密的開銷(xiāo)（服務器根(gēn)據(jù)客戶端(duān)的(dí)信息確定(dìng)是否需要生成新的主密鑰(yuè)；服務(wù)器(qì)回(huí)復該主(zhǔ)密(mì)鑰(yuè)，並返回給客戶(hù)端一(yī)個(gè)用主密鑰(yuè)認證的信(xìn)息；服務器向(xiàng)客(kè)戶端(duān)請求數(shù)字簽名和公開密鑰(yuè)）。
SSL handshake latency and HTTPS optimizations. :: semicomplete.com
當SSL 連(lián)接建(jiàn)立後，之後(hòu)的加密(mì)方式就(jiù)變成(chéng)了(liǎo)3DES等對於(yú) CPU 負荷(hé)較輕(qīng)的對稱加密方式。相對前麵 SSL 建立連(lián)接時的非對稱加密方式，對稱加密方式對 CPU 的(dí)負(fù)荷基本可以忽略(lüè)不記，所以問(wèn)題就來(lái)了，如果頻繁(fán)的重(zhòng)建(jiàn) ssl 的session，對於(yú)服(fú)務(wù)器性(xìng)能的影響將(jiāng)會是(shì)致(zhì)命的(dí)，盡(jìn)管(guǎn)打(dǎ)開HTTPS 保活可(kě)以緩解單個連(lián)接的性能(néng)問題，但是對於(yú)並發(fā)訪問用戶數(shù)極多(duō)的大型(xíng)網站，基於(yú)負荷分擔(dān)的(dí)獨立的(dí)SSL termination proxy就(jiù)顯得(dé)必不(bù)可少了(liǎo)，Web 服(fú)務放(fàng)在SSL termination proxy之後。SSL termination proxy既可以是(shì)基於(yú)硬件的，譬(pì)如F5；也可以(yǐ)是(shì)基於軟(ruǎn)件(jiàn)的(dí)，譬(pì)如維(wéi)基(jī)百科用到(dào)的(dí)就是 Nginx。
那采用(yòng) HTTPS 後，到(dào)底會(huì)多(duō)用多(duō)少(shǎo)服(fú)務器資源(yuán)，2010年1月(yuè) Gmail切換(huàn)到(dào)完全使用 HTTPS， 前(qián)端(duān)處理 SSL 機(jī)器的(dí)CPU 負荷增(zēng)加不(bù)超過1%，每(měi)個連接(jiē)的內存消耗少於(yú)20KB，網絡流量增加少於2%。由於 Gmail 應(yīng)該是(shì)使用(yòng)N台服務器(qì)分(fēn)布式處(chǔ)理，所(suǒ)以CPU 負荷的數據(jù)並不(bù)具有太多(duō)的參考(kǎo)意義(yì)，每個連接內(nèi)存(cún)消耗(hào)和(hé)網絡流量(liáng)數據有(yǒu)參(cān)考(kǎo)意義(yì)。這(zhè)篇文(wén)章中(zhōng)還列出(chū)了單核每秒大概處(chǔ)理1500次握手(shǒu)（針對1024-bit 的(dí) RSA），這(zhè)個數據很有(yǒu)參考意(yì)義，具(jù)體(tǐ)信(xìn)息來源(yuán)的(dí)英(yīng)文(wén)網(wǎng)址：ImperialViolet。
Heartbleed這個被(bèi)稱作史(shǐ)上最(zuì)大的網(wǎng)絡安(ān)全漏洞，想必很多(duō)人(rén)都有(yǒu)所耳聞(wén)，Heartbleed之所以(yǐ)能夠(gòu)出(chū)現，其實和(hé)我們這(zhè)個(gè)問(wèn)題關(guān)係還不小(xiǎo)，前(qián)麵我們(mén)談到(dào)了(liǎo)頻繁重(zhòng)建(jiàn) SSL/TLS的(dí)session對於服務器影(yǐng)響(xiǎng)是致(zhì)命的(dí)，所(suǒ)以(yǐ)聰明的RFC 在2012年(nián)提出(chū)了(liǎo) RFC6520 TLS 的心(xīn)跳擴(kuò)展(zhǎn)。這個協議(yì)本身是(shì)簡單(dān)和完美(měi)的(dí)，通過在(zài)客(kè)戶(hù)端和(hé)服(fú)務(wù)器(qì)之間(jiān)來(lái)回(huí)發送(sòng)心跳的請(qǐng)求和應答(dá)，保(bǎo)活 TLS session，減少重建 TLS的session的(dí)性能(néng)開銷。令(líng)人遺(yí)憾的(dí)是，openssl 在(zài)實(shí)現這個心跳(tiào)擴(kuò)展(zhǎn)時，犯(fàn)了一(yī)個低級(jí)的錯(cuò)誤(wù)，沒(méi)有對收(shōu)到(dào)的心(xīn)跳(tiào)請求進行(háng)長(cháng)度(dù)檢查，直接根據(jù)心(xīn)跳請(qǐng)求長度拷貝數據區，導致簡單的(dí)心(xīn)跳應(yīng)答(dá)中可(kě)能(néng)包含了(liǎo)服務器端(duān)的核心(xīn)數據區(qū)內容，用(yòng)戶名(míng)，密碼(mǎ)，信用(yòng)卡信息(xī)，甚至服務器的私有(yǒu)密鑰(yuè)都有可(kě)能(néng)泄露。心因為(wéi)心跳(tiào)保活(huó)的這個(gè) BUG 在滴血，這(zhè)個名字起的極度(dù)形象。
下麵開始(shǐ)講一個(gè)無(wú)聊(liáo)的(dí)故事(shì)，和(hé)問(wèn)題關係不大，時間緊(jǐn)張(zhāng)的(dí)看官(guān)可(kě)以(yǐ)到此為(wéi)止了(liǎo)。
從(cóng)前山(shān)上(shàng)有座(zuò)廟(miào)，廟裏(lǐ)有(yǒu)個和(hé)尚......，別胡(hú)鬧(nào)了，老和尚(shàng)來了(liǎo)。
小(xiǎo)和尚問老(lǎo)和尚(shàng)：ssl為(wéi)什麼(mó)會(huì)讓(ràng)HTTP安(ān)全？
老和(hé)尚(shàng)答(dá)道：譬如你(nǐ)我都有(yǒu)一個(gè)同樣的(dí)密碼(mǎ)，我(wǒ)發信(xìn)給(gěi)你時(shí)用這個(gè)密碼(mǎ)加密，你(nǐ)收(shōu)到我發(fā)的信(xìn)，用(yòng)這(zhè)個(gè)密(mì)碼解密，就(jiù)能(néng)知(zhī)道我(wǒ)信(xìn)的內容(róng)，其(qí)他(tā)的(dí)閒雜(zá)人(rén)等(děng)，就(jiù)算(suàn)偷偷(tōu)拿到了信(xìn)，由於不(bù)知(zhī)道(dào)這個密碼，也隻(zhī)能望(wàng)信興嘆，這(zhè)個密碼(mǎ)就叫(jiào)做(zuò)對稱密(mì)碼。ssl使用對稱密碼對HTTP內(nèi)容進(jìn)行(háng)加解密，所以(yǐ)讓HTTP安全(quán)了(liǎo)，常用的加解密算法主要有3DES和(hé)AES等。
小和尚(shàng)摸(mō)摸(mō)腦袋問老(lǎo)和尚：師(shī)傅(fù)，如(rú)果(guǒ)我們兩人選(xuǎn)擇(zé)“和尚”作為(wéi)密碼，再創造一(yī)個(gè)和尚算法(fǎ)，我(wǒ)們(mén)倆(liǎng)之間(jiān)的(dí)通(tōng)信(xìn)不就高(gāo)枕(zhěn)無憂(yōu)了？
老(lǎo)和尚當(dāng)頭給了小和(hé)尚一戒尺：那我要(yào)給山下的小(xiǎo)花寫情書，還(huán)得用(yòng)“和(hé)尚(shàng)”這個密碼(mǎ)不成(chéng)？想(xiǎng)了(liǎo)想(xiǎng)又(yòu)給了小(xiǎo)和(hé)尚一(yī)戒尺(chǐ)：雖然我(wǒ)們是(shì)和(hé)尚，不是碼農，也不能自己造(zào)輪(lún)子，當(dāng)初(chū)一堆牛(niú)人碼農造出了(liǎo)Wifi的安(ān)全算法(fǎ)WEP，後(hòu)來(lái)發(fā)現(xiàn)是(shì)一繡花(huā)枕(zhěn)頭，在(zài)安全(quán)界(jiè)傳為(wéi)笑(xiào)談(tán)；況(kuàng)且(qiě)小花隻(zhī)知道(dào)3DES和AES，哪(nǎ)知(zhī)道和(hé)尚算(suàn)法(fǎ)？
小和尚問到(dào)：那師傅何解(jiě)？
老和(hé)尚：我和小(xiǎo)花隻要(yào)知道(dào)每封信(xìn)的密碼，就可以(yǐ)讀(dú)到(dào)對(duì)方(fāng)加密(mì)的(dí)信(xìn)件，關鍵是我(wǒ)們(mén)互(hù)相之間(jiān)怎(zěn)麼知道(dào)這(zhè)個對(duì)稱(chēng)密碼(mǎ)。你(nǐ)說，我要(yào)是將密(mì)碼(mǎ)寫(xiě)封信(xìn)給(gěi)她，信被別(bié)人偷(tōu)了(liǎo)，那(nà)大家不都(dū)知道我們(mén)的密碼了(liǎo)，也就能(néng)夠讀懂(dǒng)我們(mén)情(qíng)書了。不過還是有(yǒu)解的(dí)，這(zhè)裏(lǐ)我用(yòng)到了江湖(hú)中秘傳(chuán)的非(fēi)對(duì)稱密碼。我現(xiàn)在(zài)手頭(tóu)有兩(liǎng)個密碼(mǎ)，一個叫“公鑰(yuè)”，一個叫(jiào)“私(sī)鑰”，公(gōng)鑰發布到(dào)了江湖上，好(hǎo)多人(rén)都知道(dào)，私鑰(yuè)嘛，江湖(hú)上隻有我一個人(rén)知道(dào)；這(zhè)兩(liǎng)個密鑰(yuè)有(yǒu)數學(xué)相(xiāng)關(guān)性(xìng)，就是(shì)說用公鑰加密的信件，可以用私(sī)鑰(yuè)解開，但(dàn)是(shì)用公鑰(yuè)卻解不開。公鑰(yuè)小花(huā)是(shì)知道的，她(tā)每(měi)次(cì)給我寫信(xìn)，都要我的公(gōng)鑰加密(mì)她的對(duì)稱(chēng)密碼(mǎ)，單(dān)獨寫(xiě)一(yī)張密(mì)碼紙(zhǐ)，然(rán)後(hòu)用(yòng)她的(dí)對(duì)稱密碼加密她的(dí)信件，這(zhè)樣(yàng)我用(yòng)我(wǒ)的私鑰可(kě)以解(jiě)出這個對(duì)稱(chēng)密(mì)碼，再用這個對(duì)稱(chēng)密(mì)碼(mǎ)來(lái)解密(mì)她的(dí)信件。
老(lǎo)和(hé)尚(shàng)頓了(liǎo)頓：可(kě)惜(xī)她用(yòng)的對(duì)稱密碼老是“和(hé)尚為什(shí)麼(mó)寫情(qíng)書”這一類(lèi)，所(suǒ)以我每(měi)次解開(kāi)密碼(mǎ)紙(zhǐ)時總是悵然若失(shī)，其實(shí)我(wǒ)鐘意的對(duì)稱密碼是諸(zhū)如“風花”“雪月”什麼的(dí)，最(zuì)頭痛的是(shì)，我(wǒ)還不(bù)得不用“和尚(shàng)為(wéi)什麼(mó)寫情(qíng)書(shū)”這個密碼(mǎ)來(lái)加(jiā)密我給(gěi)小(xiǎo)花(huā)回(huí)的情(qíng)書，人世間最(zuì)痛苦的事莫過於如(rú)此(cǐ)。可(kě)我哪(nǎ)裏知道(dào)，其實有(yǒu)人(rén)比(bǐ)我更痛苦(kǔ)。山(shān)下(xià)的(dí)張(zhāng)屠夫，暗(àn)戀(liàn)小花(huā)很多(duō)年(nián)，看著(zhuó)我(wǒ)們鴻(hóng)雁(yàn)傳書(shū)，心(xīn)中很(hěn)不是滋味，主(zhǔ)動(dòng)毛遂(suì)自(zì)薦代(dài)替(tì)香客給我們(mén)送信。在他第(dì)一(yī)次給(gěi)小花(huā)送(sòng)信時，就(jiù)給(gěi)了小花他(tā)自(zì)己(jǐ)的(dí)公鑰(yuè)，謊(huǎng)稱是(shì)我公鑰剛剛更新了，小花信以為真，之後(hòu)的信件對(duì)稱(chēng)密碼(mǎ)都用張屠夫的這個公(gōng)鑰加密了，張屠夫(fū)拿(ná)到回(huí)信後，用他自己的私鑰解(jiě)開了(liǎo)小(xiǎo)花的對稱密碼，然後(hòu)用這(zhè)個對(duì)稱(chēng)密碼，不僅能(néng)夠看(kàn)到了(liǎo)小花信件的所(suǒ)有內容，還(huán)能使用這個密(mì)碼(mǎ)偽造小花(huā)給我寫信，同時(shí)還能(néng)用(yòng)他的私鑰加密(mì)給(gěi)小花(huā)的信(xìn)件。漸漸我(wǒ)發現(xiàn)信(xìn)件變味(wèi)了(liǎo)，盡(jìn)管心生疑惑，但是(shì)沒有確切(qiē)的(dí)證據，一(yī)次我寫(xiě)信(xìn)問小花(huā)第一次(cì)使用的對稱密碼，回信(xìn)中“和(hé)尚(shàng)為什麼(mó)寫情書(shū)”赫然(rán)在列(liè)，於是我(wǒ)的(dí)疑(yí)惑稍稍減輕。直到有(yǒu)一(yī)次(cì)去拜會嵩(sōng)山少(shǎo)林(lín)寺(sì)老(lǎo)方丈才頓悟(wù)，原來由於我的公鑰沒(méi)有火(huǒ)印(yìn)，任何人都可(kě)以偽(wěi)造一份(fèn)公鑰(yuè)宣稱(chēng)是我的，這(zhè)樣這(zhè)個人(rén)即(jí)能(néng)讀(dú)到(dào)別(bié)人寫(xiě)給我的信(xìn)，也能偽造別人(rén)給我寫(xiě)信(xìn)，同樣(yàng)也(yě)能讀到我的回信，也能偽造我(wǒ)給(gěi)別人(rén)的回(huí)信(xìn)，這種(zhǒng)邪(xié)門(mén)武功(gōng)江湖上稱(chēng)之(zhī)“Man-in-the-middle attack”。唯一(yī)的破(pò)解(jiě)就(jiù)是使(shǐ)用嵩(sōng)山(shān)少林寺的火(huǒ)印(yìn)，這個火(huǒ)印可(kě)有講(jiǎng)究了，需要(yào)將(jiāng)我(wǒ)的公(gōng)鑰及(jí)個(gè)人在江(jiāng)湖(hú)地位提交給18羅漢(hàn)委員會(huì)，他們會根據(jù)我(wǒ)的(dí)這(zhè)些信息使(shǐ)用委(wěi)員會私鑰(yuè)進(jìn)行數字(zì)簽名，簽名的信息凸(tū)現在(zài)火印上(shàng)，有火(huǒ)印(yìn)的(dí)公鑰真(zhēn)實性在(zài)江湖(hú)上(shàng)無人質疑(yí)，要知(zhī)道18羅漢可是(shì)無人敢得罪的。
小(xiǎo)和尚問：那然後(hòu)呢？
老(lǎo)和(hé)尚(shàng)：從嵩(sōng)山(shān)少林寺(sì)回(huí)山(shān)上(shàng)寺廟時，我將有(yǒu)火(huǒ)印(yìn)的公(gōng)鑰親自給小花送(sòng)去(qù)，可(kě)是之(zhī)後(hòu)再(zài)也(yě)沒有(yǒu)收到小(xiǎo)花的(dí)來(lái)信(xìn)。過了(liǎo)一年(nián)才(cái)知道，其(qí)實小花(huā)還(huán)是(shì)給我寫(xiě)過(guò)信的，當時(shí)信確實(shí)是用有(yǒu)火(huǒ)印(yìn)的公鑰(yuè)加(jiā)密(mì)，張屠夫(fū)拿到(dào)信後，由於(yú)不知(zhī)道我的私鑰(yuè)，解不開小(xiǎo)花(huā)的密碼(mǎ)信(xìn)，所(suǒ)以(yǐ)一怒(nù)之下將信(xìn)件(jiàn)全(quán)部燒(shāo)毀(huǐ)了。也由於張屠(tú)夫無(wú)法(fǎ)知(zhī)道小(xiǎo)花的對(duì)稱密(mì)碼而無法回信，小(xiǎo)花(huā)發出幾(jī)封(fēng)信(xìn)後石(shí)沉大(dà)海(hǎi)，也(yě)心(xīn)生疑(yí)惑，到處打聽(tīng)我(wǒ)的近(jìn)況(kuàng)。這下張屠(tú)夫(fū)急了(liǎo)，他使用(yòng)我(wǒ)發布(bù)的公鑰，仿照小花(huā)的語氣，給我發來(lái)一封信(xìn)。拿到(dào)信(xìn)時我就(jiù)覺得奇怪(guài)，信紙上怎(zěn)麼有(yǒu)一(yī)股豬(zhū)油的味道，結尾竟然還關切(qiē)的詢問(wèn)我(wǒ)的私(sī)鑰。情知(zhī)有詐，我(wǒ)思(sī)量無論如(rú)何要(yào)找到(dào)辦法讓(ràng)我(wǒ)知道來的(dí)信(xìn)是否真是小(xiǎo)花所(suǒ)寫。後來竟(jìng)然讓我(wǒ)想到了(liǎo)辦法....
老和尚摸著(zhuó)光頭(tóu)說(shuō)：這(zhè)頭發可(kě)不(bù)是(shì)白(bái)掉(diào)的，我(wǒ)托香(xiāng)客(kè)給小花帶話(huà)，我一切安好，希(xī)望她(tā)也(yě)擁(yōng)有屬(shǔ)於自己(jǐ)的一(yī)段幸(xìng)福(fú)，不對，是一對(duì)非對稱密(mì)鑰(yuè)。小花(huā)委(wěi)托(tuō)小(xiǎo)鎮美女協(xié)會(huì)給小花公(gōng)鑰打上火印後(hòu)，托香客給(gěi)我送(sòng)來(lái)，這樣(yàng)小花在每次(cì)給(gěi)我寫(xiě)信(xìn)時，都會在密碼(mǎ)紙上(shàng)貼(tiē)上一朵小(xiǎo)牡(mǔ)丹(dān)，牡(mǔ)丹上寫上用她(tā)自己的私鑰(yuè)加(jiā)密(mì)過(guò)的給(gěi)我的留言(yán)，這樣我(wǒ)收(shōu)到自稱是小花的(dí)信(xìn)後(hòu)，我會(huì)先抽出密碼(mǎ)紙(zhǐ)，取(qǔ)下(xià)小牡(mǔ)丹(dān)，使用小(xiǎo)花的公(gōng)鑰解(jiě)密這(zhè)段留(liú)言(yán)，如(rú)果解(jiě)不出來，我會直(zhí)接(jiē)將(jiāng)整(zhěng)封(fēng)信(xìn)連(lián)同(tóng)密碼(mǎ)紙一起(qǐ)扔(rēng)掉(diào)，因為(wéi)這封(fēng)信(xìn)一(yī)定不(bù)是小花寫的(dí)，如果能(néng)夠(gòu)解(jiě)出來(lái)，這封(fēng)信才(cái)能確信來(lái)之於(yú)小花，我才仔細(xì)的解碼閱讀。
小和尚(shàng)：難怪(guài)聽(tīng)說(shuō)張(zhāng)屠夫是被活(huó)活氣死的。您這情書(shū)整(zhěng)的(dí)，我頭(tóu)都(dū)大了(liǎo)，我(wǒ)長(cháng)大後，有想(xiǎng)法(fǎ)直(zhí)接扯著嗓子對山下喊，也省的這麼(mó)些麻煩。不過(guò)我倒是(shì)明(míng)白了(liǎo)樓上的話，ssl 握手階段，就是要解(jiě)決(jué)什麼看(kàn)火(huǒ)印(yìn)，讀(dú)牡(mǔ)丹(dān)，解密碼紙(zhǐ)，確實夠(gòu)麻(má)煩(fán)的，所(suǒ)以(yǐ)性能瓶頸(jǐng)在(zài)這裏(lǐ)，一旦雙(shuāng)方(fāng)都(dū)知道(dào)了(liǎo)對(duì)稱(chēng)密碼，之(zhī)後就是(shì)行雲流水的解(jiě)碼(mǎ)讀信階段了，相對(duì)輕(qīng)鬆(sōng)很(hěn)多。
轉(zhuǎn)載請(qǐng)保留原(yuán)文地址(zhǐ): https://antelcom.cn/show-398.html