解密亚洲诚信如何做到HTTPS的最佳安全实践

  1. 云栖社区>
  2. 博客>
  3. 正文

解密亚洲诚信如何做到HTTPS的最佳安全实践

it大咖说 2017-06-30 15:31:44 浏览2033
展开阅读全文

0e83a85d1ab62d793a13094933818915b26c403f

内容来源:2017年5月23日亚洲诚信高级技术经理余宁在“世界云计算 · 中国站”进行《HTTPS最佳安全实践》演讲分享。IT大咖说作为独家视频合作方,经主办方和讲者审阅授权发布。

 阅读字数:946  | 3分钟阅读


摘要

随着亚洲诚信2016年推出加密无处不在以来,HTTPS的使用成本和技术门槛逐步降低,HTTPS正被越来越多的网站和企业使用。但是我们发现,进行正确的HTTPS配置和安全部署情况并不乐观。此次分享主要向大家介绍HTTPS常见安全威胁以及如何部署安全的HTTPS服务。

HTTPS行业动态


2014年到2015年,Google、Baidu等搜索引擎优先收录了HTTPS网站。


2015年,Baidu、Alibaba等国内大型互联网公司陆续实现了全站HTTPS加密。


2016年,Apple强制实施ATS标准;微信小程序要求后台通信必须用HTTPS;美国、英国政府机构网站实现全站HTTPS;国家网络安全法规定,网络运营者需要保护其用户信息的安全,并明确了相关法律责任。


2017年,Chrome、Firefox将标示HTTPS站点不安全。


HTTP/2的主流实现都要求使用HTTPS。TLS1.3即将发布,使HTTPS更快更安全。


HTTPS安全现状

d7f8d9261baba936d5089a68d0d98b73d234b04c

c4cf2a6ce8b6fe2907a6f93d5d974c75b7388c02

HTTPS的安全现状仍是不容乐观。


如何让HTTPS更安全


证书选择

首先要考虑证书品牌,看它的兼容性、技术背景如何,口碑怎样,占有率是多少。

审核类型根据审核的强度分为了EV、OV、DV。商用站点最好是选择EV、OV。

从证书功能上来看,又分为单域名、多域名和通配符。而一般情况下,多域名和通配符容易增加风险,所以在能满足基本需求的情况下尽量选择单域名。

常见的证书算法有RSA、ECC等。ECC是目前更安全、性能更高的一种算法。

优化配置

完善证书链,提升兼容性。

启用安全协议版本,弃用不安全协议版本。

选用安全性能好的套件组合,弃用一些有安全漏洞或加密强度不高的套件组合。

利用Session ID和Session Ticker实现会话恢复。

漏洞修复

通过调整加密协议、加密套件或升级SSL服务端等措施得到修复。

安全加固

HSTS:浏览器实现HTTPS强制跳转,减少会话劫持风险。

HPKP:指定浏览器信任的公钥,防止CA误发证书而导致中间人攻击。

CAA:通过DNS指定自己信任的CA,使CA避免误发证书。

OCSPStapling:服务端SSL握手过程直接返回OCSP状态,避免用户向CA查询,保护用户隐私。


MySSL——HTTPS安全评估


HTTP安全概览

5a7583a7d6d16f12811b234483c04782746fc4df

HTTP配置建议

1、配置符合PFS规范的加密套件。

2、在服务端TLS协议中启用TLS1.2。

3、保证当前域名与所使用的证书匹配。

4、保证证书在有效期内。

5、使用SHA-2签名算法的证书。

6、保证证书签发机构是可信的CA机构。

7、HSTS的max-age需要大于15768000秒。

MySSL——HTTPS最佳安全实践

c2e7f22aa87b3d1cf61c1acc9f7dcdd022f8f1df


我的分享到此结束,谢谢大家!

相关推荐

推荐文章

近期活动

9d6412fe41522e1c6e825097949ab68c0e5bff10

点击www.itdks.com进入干货密道


网友评论

登录后评论
0/500
评论
it大咖说
+ 关注