找回密码
 骑士注册

QQ登录

微博登录

搜索
❏ 站外平台:

tag 标签:

相关文章

  • 如何配置使用 HTTP 严格传输安全(HSTS)

    HTTP 严格传输安全(HSTS)是一种安全功能,web 服务器通过它来告诉浏览器仅用 HTTPS 来与之通讯,而不是使用 HTTP。本文会说明如何在 Apache2、Nginx 和 Lighttpd 上如何启用 HSTS。在主流的 web 服务器上测试通过: Nginx1.1.19、 Lighttpd 1.4.28 和Apache 2.2.22 ,环境为 Ubuntu 12.04、 Debian 6 7 和 CentOS 6,只需要调整部分参数就可以工作在其它的发行版上。 什么是 HTTP 严格传输安全? 引用自Mozilla Developer Network: 如果一个 web 服务器支持 HTTP 访问,并将其重定向到 HTTPS 访问的话,那么访问者在重定向前的初始

    2015-04-15 08:40     Remy van Elst, wxy

  • 增强 nginx 的 SSL 安全性

    本文向你介绍如何在 nginx 服务器上设置健壮的 SSL 安全机制。我们通过禁用 SSL 压缩来降低 CRIME 攻击威胁;禁用协议上存在安全缺陷的 SSLv3 及更低版本,并设置更健壮的加密套件(cipher suite)来尽可能启用前向安全性(Forward Secrecy);此外,我们还启用了 HSTS 和 HPKP。这样我们就拥有了一个健壮而可经受考验的 SSL 配置,并可以在 Qually Labs 的 SSL 测试中得到 A 级评分。 如果不求甚解的话,可以从 https://cipherli.st 上找到 nginx 、Apache 和 Lighttpd 的安全设置,复制粘帖即可。 本教程在 Digital Ocean 的 VPS 上测试

    2015-05-04 09:00     Remy van Elst, wxy

  • 在 Apache、NGINX 和 Lighttpd 上启用 HTTP 公钥固定扩展(HPKP)

    编者按:前段时间,Google 报告说 CNNIC 签发的一个中级 CA 签发了一个伪造的 Google 证书,从而导致 Google 和 Mozilla 在其产品中取消了对 CNNIC 后继签发的证书信任。 本文就来讲述一下,这种伪造证书是如何被 Google 发现的,其技术机制是什么?如何在网站服务器上实现伪造证书防御和报告机制。 公钥固定(Public Key Pinning)是指一个证书链中必须包含一个白名单中的公钥,也就是说只有被列入白名单的证书签发机构(CA)才能为某个域名*.example.com签发证书,而不是你的浏览器中所存储的任何 CA 都可以为之签发。本文讲述了这种机

    2015-04-16 18:27     Remy van Elst, wxy

  • 大型网站的 HTTPS 实践(一): HTTPS 协议和原理

    1 前言 百度已经于近日上线了全站 HTTPS 的安全搜索,默认会将 HTTP 请求跳转成 HTTPS。本文重点介绍 HTTPS 协议, 并简单介绍部署全站 HTTPS 的意义。 2 HTTPS 协议概述 HTTPS 可以认为是 HTTP + TLS。HTTP 协议大家耳熟能详了,目前大部分 WEB 应用和网站都是使用 HTTP 协议传输的。 TLS 是传输层加密协议,它的前身是 SSL 协议,最早由 netscape 公司于 1995 年发布,1999 年经过 IETF 讨论和规范后,改名为 TLS。如果没有特别说明,SSL 和 TLS 说的都是同一个协议。 HTTP 和 TLS 在协议层的位置以及 TLS 协议的组成如下图: 图 1 TLS

    2015-05-05 22:13     @BAIDU罗成

  • 如果你也用Chrome,你会发现这样一条警告

    最近如果使用Chrome访问国内的很多网站的时候,比如exmail.qq.com, 你可能会注意到这样一个对话框: 这个是什么意思?访问链接没有私密性吗? 我上个邮箱,连私密性都没有了,那里面的照片应该怎么办,以前修电脑没有私密性,现在连上网都没有私密性,难道我又要红了? 等等,这里好像有点不对, 网页私密性到底是个啥,为啥会提醒我这个问题,我不是已经输了密码登录了嘛? 事情要从头说起。 一、HTTPS (安全超文本协议)怎么来的? 1997 年 CERN发明HTTP 协议并用于万维网的时候,仅仅是为了在学术界内部做一个共享数据的平台, 并没有

    2015-07-10 10:10     罗志宇

  • HTTPS 背后的加密算法

    当你在浏览器的地址栏上输入https开头的网址后,浏览器和服务器之间会在接下来的几百毫秒内进行大量的通信。InfoQ的这篇文章对此有非常详细的描述。这些复杂的步骤的第一步,就是浏览器与服务器之间协商一个在后续通信中使用的密钥算法。这个过程简单来说是这样的: 浏览器把自身支持的一系列Cipher Suite(密钥算法套件,后文简称Cipher)发给服务器; 服务器接收到浏览器的所有Cipher后,与自己支持的套件作对比,如果找到双方都支持的Cipher,则告知浏览器; 浏览器与服务器使用匹配的Cipher进行后续通信。如果服务器没有找到匹配的算

    2015-08-17 10:39     韩锴

  • 大型网站的 HTTPS 实践(三):基于协议和配置的优化

    1 前言 上文讲到 HTTPS 对用户访问速度的影响。 本文就为大家介绍 HTTPS 在访问速度,计算性能,安全等方面基于协议和配置的优化。 2 HTTPS 访问速度优化 2.1 Tcp fast open HTTPS 和 HTTP 使用 TCP 协议进行传输,也就意味着必须通过三次握手建立 TCP 连接,但一个 RTT 的时间内只传输一个 syn 包是不是太浪费?能不能在 syn 包发出的同时捎上应用层的数据?其实是可以的,这也是 tcp fast open 的思路,简称 TFO。具体原理可以参考 rfc7413。 遗憾的是 TFO 需要高版本内核的支持,linux 从 3.7 以后支持 TFO,但是目前的 windows 系统

    2015-05-08 10:03     @BAIDU罗成

  • 美国政府所有网站开始使用HTTPS加密

    作为维护安全和隐私的一项新举措,美国政府宣布了一项计划,使HTTPS成为其公共网站联邦安全标准。其目标是到2016年12月31日,让美国政府所有网站都使用HTTPS加密。白宫甚至在Github上张贴这项政策的最终版本,让公众自己来进行比较。美国政府内部数据机构表示,这些变化将有助于带来跨美国政府网站和API的隐私和安全。 该机构长期以来一直支持一刀切地采用HTTPS标准,认为每一个以gov为后缀的网站都应该提供一个安全的连接。在此期间,有一个网站显示有多少联邦网站开始过渡到HTTPS,甚至对这些联邦网站进行安全评级。举例来说,目前31%的

    2015-06-10 07:41     

  • 大型网站的 HTTPS 实践(四):协议层以外的实践

    1 前言 网上介绍 https 的文章并不多,更鲜有分享在大型互联网站点部署 https 的实践经验,我们在考虑部署 https 时也有重重的疑惑。 本文为大家介绍百度 HTTPS 的实践和一些权衡, 希望以此抛砖引玉。 2 协议层以外的实践工作 2.1 全站覆盖 https 的理由 很多刚接触 https 的会思考,我是不是只要站点的主域名换了 https 就可以?答案是不行。 https 的目的就是保证传输过程的安全,如果只有主域名上了 https,但是主域名加载的资源,比如 js,css,图片没有上 https,会怎么样? 从效果上来说,没有达到保证网站传输过程安全的目的,因

    2015-05-09 10:12     @BAIDU罗成

  • 维基百科将默认开启HTTPS以强化安全

    维基媒体基金会发布公告称,旗下所有网站将全部默认开启HTTPS,以确保用户在不牺牲隐私和安全的前提下访问内容。目前这项工作正在进行中,这些网站里面其中最出名的当然是全球最大的在线百科网站维基百科。 默认HTTPS开启意味着用户对其包括维基百科在内的所有旗下网站的访问流量都将进行加密,这样第三方就无法知道用户浏览了什么内容,也无法获取敏感数据,从而保护用户的隐私和安全。 实际上,维基媒体基金会的这项工作在1年前就已经开始,但是由于全站默认支持HTTPS要涉及到对基础设施(HTTPS相对于HTTP要多占用服务器端的资源)和底

    2015-06-15 08:30     boxi

返回顶部

分享到微信

打开微信,点击顶部的“╋”,
使用“扫一扫”将网页分享至微信。