HTTP 严格传输安全（HSTS）是一种安全功能，web 服务器通过它来告诉浏览器仅用 HTTPS 来与之通讯，而不是使用 HTTP。本文会说明如何在 Apache2、Nginx 和 Lighttpd 上如何启用 HSTS。在主流的 web 服务器上测试通过： Nginx1.1.19、 Lighttpd 1.4.28 和Apache 2.2.22 ，环境为 Ubuntu 12.04、 Debian 6 7 和 CentOS 6，只需要调整部分参数就可以工作在其它的发行版上。 什么是 HTTP 严格传输安全？ 引用自Mozilla Developer Network： 如果一个 web 服务器支持 HTTP 访问，并将其重定向到 HTTPS 访问的话，那么访问者在重定向前的初始
2015-04-15 08:40 Remy van Elst, wxy
本文向你介绍如何在 nginx 服务器上设置健壮的 SSL 安全机制。我们通过禁用 SSL 压缩来降低 CRIME 攻击威胁；禁用协议上存在安全缺陷的 SSLv3 及更低版本，并设置更健壮的加密套件（cipher suite）来尽可能启用前向安全性（Forward Secrecy）；此外，我们还启用了 HSTS 和 HPKP。这样我们就拥有了一个健壮而可经受考验的 SSL 配置，并可以在 Qually Labs 的 SSL 测试中得到 A 级评分。 如果不求甚解的话，可以从 https://cipherli.st 上找到 nginx 、Apache 和 Lighttpd 的安全设置，复制粘帖即可。 本教程在 Digital Ocean 的 VPS 上测试
2015-05-04 09:00 Remy van Elst, wxy
编者按：前段时间，Google 报告说 CNNIC 签发的一个中级 CA 签发了一个伪造的 Google 证书，从而导致 Google 和 Mozilla 在其产品中取消了对 CNNIC 后继签发的证书信任。 本文就来讲述一下，这种伪造证书是如何被 Google 发现的，其技术机制是什么？如何在网站服务器上实现伪造证书防御和报告机制。 公钥固定（Public Key Pinning）是指一个证书链中必须包含一个白名单中的公钥，也就是说只有被列入白名单的证书签发机构（CA）才能为某个域名*.example.com签发证书，而不是你的浏览器中所存储的任何 CA 都可以为之签发。本文讲述了这种机
2015-04-16 18:27 Remy van Elst, wxy
1 前言 百度已经于近日上线了全站 HTTPS 的安全搜索，默认会将 HTTP 请求跳转成 HTTPS。本文重点介绍 HTTPS 协议, 并简单介绍部署全站 HTTPS 的意义。 2 HTTPS 协议概述 HTTPS 可以认为是 HTTP + TLS。HTTP 协议大家耳熟能详了，目前大部分 WEB 应用和网站都是使用 HTTP 协议传输的。 TLS 是传输层加密协议，它的前身是 SSL 协议，最早由 netscape 公司于 1995 年发布，1999 年经过 IETF 讨论和规范后，改名为 TLS。如果没有特别说明，SSL 和 TLS 说的都是同一个协议。 HTTP 和 TLS 在协议层的位置以及 TLS 协议的组成如下图： 图 1 TLS
2015-05-05 22:13 @BAIDU罗成
误解七：HTTPS无法缓存 许多人以为，出于安全考虑，浏览器不会在本地保存HTTPS缓存。实际上，只要在HTTP头中使用特定命令，HTTPS是可以缓存的。 微软的IE项目经理Eric Lawrence写道： "说来也许令人震惊，只要HTTP头允许这样做，所有版本的IE都缓存HTTPS内容。比如，如果头命令是Cache-Control: max-age=600，那么这个网页就将被IE缓存10分钟。IE的缓存策略，与是否使用HTTPS协议无关。（其他浏览器在这方面的行为不一致，取决于你使用的版本，所以这里不加以讨论。）" Firefox默认只在内存中缓存HTTPS。但是，只要头命令中有Cache-Cont
2015-04-01 07:18 阮一峰
Linux基金会宣布它将为Let's Encrypt项目和互联网安全研究组（ISRG）提供托管服务。 Lets Encrypt CA项目由Mozilla、思科、Akamai、IdenTrust和EFF等组织发起，向网站自动签发和管理免费证书，加速将Web从HTTP过渡到HTTPS。Lets Encrypt CA 将于2015年中期开放。ISRG则是开发Lets Encrypt CA的非营利组织。 Linux基金会执行董事Jim Zemlin说，Web作为我们生活的一部分已有几十年了，但网络中的数据共享仍然面临危险。
2015-04-10 14:12
美国人民希望政府网站是安全的，并且他们在这些网站的访问是作为隐私被保护的。HTTPS协议用当今的因特网技术为公共网络连接提供了最强的隐私保护。HTTPS的使用降低了用户在使用政府在线服务时被截获和被修改的风险。 这个建议的动机，HTTPS-only标准，会要求所有可公开访问的联邦网站和网络服务使用HTTPS。 我们鼓励你的反馈和建议。 （题图来自：pinimg.com） 目标 所有可公开访问的联邦网站和web服务只通过一个安全的连接提供服务。目前公共网络连接可用的最强的隐私保护就是HTTPS协议。（提供公开访问的网站和服务，在这里被定义成全
2015-03-31 16:35
1 前言 上文讲到 HTTPS 对用户访问速度的影响。 本文就为大家介绍 HTTPS 在访问速度，计算性能，安全等方面基于协议和配置的优化。 2 HTTPS 访问速度优化 2.1 Tcp fast open HTTPS 和 HTTP 使用 TCP 协议进行传输，也就意味着必须通过三次握手建立 TCP 连接，但一个 RTT 的时间内只传输一个 syn 包是不是太浪费？能不能在 syn 包发出的同时捎上应用层的数据？其实是可以的，这也是 tcp fast open 的思路，简称 TFO。具体原理可以参考 rfc7413。 遗憾的是 TFO 需要高版本内核的支持，linux 从 3.7 以后支持 TFO，但是目前的 windows 系统
2015-05-08 10:03 @BAIDU罗成
作为维护安全和隐私的一项新举措，美国政府宣布了一项计划，使HTTPS成为其公共网站联邦安全标准。其目标是到2016年12月31日，让美国政府所有网站都使用HTTPS加密。白宫甚至在Github上张贴这项政策的最终版本，让公众自己来进行比较。美国政府内部数据机构表示，这些变化将有助于带来跨美国政府网站和API的隐私和安全。 该机构长期以来一直支持一刀切地采用HTTPS标准，认为每一个以gov为后缀的网站都应该提供一个安全的连接。在此期间，有一个网站显示有多少联邦网站开始过渡到HTTPS，甚至对这些联邦网站进行安全评级。举例来说，目前31%的
2015-06-10 07:41
1 前言 网上介绍 https 的文章并不多，更鲜有分享在大型互联网站点部署 https 的实践经验，我们在考虑部署 https 时也有重重的疑惑。 本文为大家介绍百度 HTTPS 的实践和一些权衡, 希望以此抛砖引玉。 2 协议层以外的实践工作 2.1 全站覆盖 https 的理由 很多刚接触 https 的会思考，我是不是只要站点的主域名换了 https 就可以？答案是不行。 https 的目的就是保证传输过程的安全，如果只有主域名上了 https，但是主域名加载的资源，比如 js，css，图片没有上 https，会怎么样？ 从效果上来说，没有达到保证网站传输过程安全的目的，因
2015-05-09 10:12 @BAIDU罗成
分享到微信
打开微信，点击顶部的“╋”，
使用“扫一扫”将网页分享至微信。
标签: