https填坑之旅，https坑之旅

https填坑之旅，https坑之旅

Boss說，我們買了個權威認證，不如做全站式的https吧，讓使用者開啟首頁就能看到受信任的綠標。於是我們就開始了填坑之旅。

【只上主域好不好？】

不好。。。console會報出一大堆warning因為圖片域沒有https～瀏覽器認證符號也不是綠色的～

 

【在哪裡解密SSL？】

大網站都是架構複雜的啦～各層負載平衡和動靜分離～其中最經典的就是圖片和應用分離，這也導致了我們要給兩個域配認證。

想過在NginX配，好處是在一台機上只配一個認證，壞處是多個機器的配置難以管理，所以只好在前面HA層配～

具體怎麼配網上很多教程啦～大概就是配置指向一個文字檔，裡面是網域名稱和認證的列表。

 

【測試環境怎麼辦？】

涼拌唄～用openssl產生幾個自簽認證就結了～然後自己手動匯入到瀏覽器就可以愉快玩耍了～

大概會是這樣
http://www.centoscn.com/CentOS/config/2014/0220/2423.html

有幾個要點：

1.剛開始的私密金鑰是有密碼保護的，但是放在伺服器中一般是直接使用的，所以要把該私密金鑰轉換成無密碼保護的。

2.pem檔案等於：crt認證+私密金鑰，密碼體系pem、X509之類的各種國際標準就不展開了，總之就是些機構資訊、密鑰、摘要等。

3.想偷懶的可以簽給*.主域.com，但這樣就沒法提前在測試環境踩坑填坑了，多認證的情況終歸是不同的。

4.密鑰和認證的400使用權限設定，非生產環境可隨意～

 

【HSTS好不好？】

當然好，全站式https就該開啟HSTS嚴格傳輸安全，直接在瀏覽器就幫你把http轉為https請求，而不用301回來跳轉。

然而如果有個別頁面確實還沒上https，那就沒辦法了～

 

【爛鬼認證商，在手機瀏覽器打不開？】

怎麼可能啊，認證供應商是權威機構，怎麼會在安卓裡沒根憑證啊？一般排查之後發現，安卓裡確實是有認證商的根憑證的。再幾番查資料之後才發現，要配置ca-bundle憑證鏈結，也就是受信任的根憑證層層簽下來的這個依賴關係～手機瀏覽器也能愉快玩耍了～

 

【你的https安全性如何？】

舉個百度的栗子（也不知道ip對不對，不是a.shifen.com那個～）

https://www.ssllabs.com/ssltest/analyze.html?d=baidu.com&s=103.235.46.39

我們網站就類似這樣。。。神馬貴賓犬漏洞啊心臟流血漏洞啊全都露出來了～讀完一大堆英文警告，說什麼會被中間人攻擊利用之類之類的，最後其實就一句話。。。要升級openssl版本，要提高TSL版本。。。

可以看看這篇文章 http://www.oschina.net/news/56159/ssl-v3-poodle

 

【要不要用SNI？】

買CDN服務的時候雲端服務商問要不要非SNI支援啊？SNI是什麼呢？Server Name Indication是TSL協議的擴充，用於支援一個IP綁定多個認證。所以非SNI，就是IE7等舊版本瀏覽器的相容問題。。。請用現代瀏覽器。。。

 

【用戶端報錯peer not authenticated】

瀏覽器、手機和一般用戶端訪問似乎是沒問題的，然而天殺的某外部系統接入調用就出問題了。。。網上都說是沒裝認證，然而我們是權威認證啊怎麼會～

然後我寫了個簡單的httpclient調用，在伺服器端啟動調用的返回是正常的，在IDE中啟動調用就報SSL這個錯誤。

幾番排查確認，在jdk1.7中運行正常，在jdk1.6中報錯，這裡用的httpclient是4.1。

然後兩個懷疑，一個是httpclient或jdk中是否有什麼bug，另一個是舊版jdk是否用了太舊的SSL協議而服務端不允許。

這個問題還有待驗證和有待解決。歡迎大牛提建議。

 

至此，近似全站https就跑起來了～好多概念和操作細節就不一一展開了。

最後奉上阮大神對SSL/TSL的原理分析，篇幅不長，但是精要地解釋了https握手和通訊的過程。

http://www.ruanyifeng.com/blog/2014/02/ssl_tls.html