HTTP vs.HTTPS:数字SSL证书会损害Web安全吗?

安全
本文介绍了网站不对所有的网页使用SSL(安全套接层)加密的原因。

问:为何网站浏览是以HTTP(超文本传输协议)来执行而不是HTTPS(安全超文本传输协议)呢?例如,在Facebook.com上,网页的认证是通过HTTPS来进行的,认证之后,就回到HTTP。为何网站不在一开始就对所有的操作运用HTTPS?

答:网站并不对所有网页进行加密的原因是,使用SSL(安全套接层)时要进行以下权衡:改善的安全性能与高成本、低反应速度的对比。通过SSL来发送网页时,需要数字化的SLL证书,VeriSign扩展验证SSL证书一年需花费995美元,对小店来说,这可是笔不小的费用。而这些小店的网站变动很小,目的只是向顾客提示自己的存在,所以对他们来说,花费这么一笔钱去链接SSL显得不合情理。对网站的安全控制应该与可能遇到的风险大小成比例,街头小店的网站就属于风险极小的类型。

带有数字证书的网站为何不通过SSL发送网页还有其历史原因,加密的过程会使网页的发送速度变慢。使用SSL的过程中,在没有接触到服务器和客户之间交换的大量加密数据之前,服务器就有一大堆数据要处理。在宽带技术应用之前,网页下载的速度很缓慢,网站设计者出于对网页浏览量的考虑,不愿意对每个网页都进行加密。(这也是大多数主页不使用SSL技术的原因,网站的设计者希望浏览者尽快的看到自己的网页,而不是让他们等得失去耐心,跑到别的网站上去。)同时,许多浏览器不会缓存通过SSL发送的文件,原因是存储SSL文件会生成大量的额外信息流量,降低网页的下载速度,而这些额外的信息量要不间断的从网站服务器获得。

就拿Facebook来说,它肯定能承担起数字证书的费用,而且出于对网站中需要注册的网页的考虑,Facebook使用了数字证书。有些忙碌的网站服务器大范围的使用了SSL技术,例如,银行网站,SSL加速器(实际上是一块协助处理板)被用来处理SSL公钥计算。这样的配置减轻了网站服务器通过SSL发送网页的工作量,提高了发送速度。可以确定的是,像Facebook这样信息交换快速的网站,配置SSL加速器是很明智的,然而,对每个网页都进行加密的做法是不切实际的,也是没有必要的。

可以明确的是,SSL并不能使网站变得安全。SSL仅能对网站进行认证和对网站间所交换数据进行加密。知晓将要联系的对象并把联系的内容加密,这两项在安全登录过程中是很关键的。这也是Facebook在自己的登陆界面使用SSL技术的原因。如果登陆模式不受SSL保护,网站就不能被认证;即便数据是通过SSL模式发送的,如果登陆模式不是SSL的话,在你将这些数据发送之前,仍不能对网站进行认证。因此,虽然你的证书是加密的,仍然没法获知究竟将这些数据发送到了什么地方。

SSL链接提供了一种检验途径,审核你目前所在的网页是否来自你想要去的网站。当你看到安全锁标志时,可以检验一下SSL证书,并查看:组织的名字和证书是由谁发布的。我们使用SSL技术是出于以下考虑:SSL具有检验网页来源的能力,能够识别目前所浏览的网页是否发布于将要登入的网站,并使这些数据不被其他人获知。然而,这些都是在SSL运行的过程中存在的,在网页已经开始被浏览的情况下就不存在了。当用户已经进入所要浏览的网站时,SSL不再具有数据保护功能,而且在数据被网站和其所有者处理与存储时,对其安全性如何,SSL不能进行任何的干预。

【编辑推荐】

  1. 密钥升级部分SSL证书存在安全缺陷
  2. SSL证书安全选购十问
责任编辑:许凤丽 来源: TechTarget中国
相关推荐

2023-09-26 09:42:00

2016-10-24 17:47:38

2019-08-22 10:35:10

SSL协议安全

2010-07-30 16:02:56

2009-08-14 13:27:43

2019-04-24 08:00:00

HTTPSHTTP前端

2023-07-04 06:59:25

2022-03-22 09:16:24

HTTPS数据安全网络协议

2009-08-14 15:05:33

2009-08-27 17:23:57

SSL证书网站安全

2021-05-12 08:15:53

HTTPSHTTP安全

2012-02-10 09:46:57

2019-12-30 16:03:54

Web服务器Nginx

2020-07-22 14:30:29

JavaHTTPS加密

2019-09-29 15:16:49

2010-11-23 09:26:57

2021-05-13 07:58:05

HTTPSHTTP安全

2010-03-23 11:41:47

2024-03-26 12:08:20

加密NginxHTTP

2019-03-12 18:00:33

httpWeb安全Javascript
点赞
收藏

51CTO技术栈公众号