说说 SSL 的错误认识和不足之处

最新推荐文章于 2024-11-07 15:31:46 发布

明月登楼

最新推荐文章于 2024-11-07 15:31:46 发布

阅读量1.2k

点赞数 11

分类专栏： LNMP 文章标签： ssl 网络协议网络

本文链接：https://blog.csdn.net/cpublic/article/details/139901085

版权

LNMP 专栏收录该内容

35 篇文章 0 订阅

订阅专栏

最近明月在学习折腾 LNMP 期间无意中建了一个 Typecho 的博客小站，近一周的折腾下来，收获真的不少，致使兴趣也越来越浓了，在升级 LNMP 的时候捎带手的给这个 Typecho 博客也启用了 SSL。并且开启了 memcached 和 OPcache 优化加速模块，感觉很不错，大家可以移步围观一下【明月学习笔记 Blog』。

没有想到在 VPS 上部署 SSL 竟然是个分分钟就搞定的事儿，通过几行指令就可以直接在线获取免费 Let's Encrypt 证书了，对 Nginx 主机配置文件稍作修改即可以了。快的有点儿让明月以外了，嘿嘿。因为是个新站，所以小绿锁标志很快就在 Chrome 浏览器地址栏里出现了。我这也算是一次少有的跟风了。

明月发现很多博客站长们都 SSL 的认识有不小的误区，借着这次明月自身的体验我们几天就说说 SSL 的错误认识以及存在的不足之处，以便博客站长们更好的选择取舍。

什么是 SSL？

SSL 是 SecuritySocketLayer 的缩写，技术上称为安全套接字，可以简称为加密通讯协议，使用 SSL 可以对通讯内容进行高强度的加密，以防止黑客监听您的通讯内容甚至是用户密码。

谷歌对 SSL 加密的描述

谷歌：与不加密的网络连接相比，使用 SSL 技术可提供更高的隐私性和安全性。它可降低信息被第三方拦截或滥用的风险。许多网站访问者在得知自己正在使用 SSL 连接后会更愿意提供付款信息以及其他个人信息。

实际上，谷歌对 SSL 的支持是显而易见的。就按照远方的海自己的例子，加上了 SSL 之后，谷歌的访问数目陡然上升了不少。如果你的网站主要是面对谷歌和海外用户，那么绝对不需要犹豫了，SSL 是你的归宿！

而且 SSL 会保障网站的安全。比如，网站很多关键词出现敏感词，没有 SSL 的网站估计就难逃其咎了。之前 V2EX 因为敏感词被封，SSL 端口依然还是可以访问。这个例子就证明了 SSL 的好处。

至于说百度对 SSL，明月认为百度这方面主要还是表现在“口头”上的，就照明月目前的体验，百度对 SSL 站点的收录和权重分配并没有“口头”上说的那么好，所以大家不要相信 SSL 可以提升收录速度、收录量、权重这些，做好“内容增益”才是当前主要工作可参考【原创的“真谛”其实是内容增益！』。

一些对 SSL 错误的看法

客观的说 SSL 是会影响部分加载速度，但是绝对不是让你的网站一下就拖慢了。除非你是洁癖的“处女座”。

看法 1：SSL 会拖慢访问速度吗？

真相 1：SSL 实际上会比普通的 HTTP80 端口的访问多了一次 HTTPS 握手的时间（SSLHandshakeTime），这个握手时间其实相对于网页加载时间是很缓慢的。网页加载的时候，HTTP 需要 3 次 TCP 握手链接；而 HTTPS 则需要 12 次握手链接，较之 HTTP 多了 9 次。所以在建立链接的时候，多出了一些 HTTPS 加密解密的时间。实际上这个时间基本在 0.2 秒之内，你说算不算是拖慢速度呢？

看法 2：SSL 占服务器资源吗？

真相 2：我们用数据说话。只有足够大的流量和数据才具有可靠的真实性。那么 Gmail 的例子可以说是全球范围内，最有参考价值的例子之一了。

2010 年 1 月 Gmail 切换到完全使用 https，前端处理 SSL 机器的 CPU 负荷增加不超过 1%，每个连接的内存消耗少于 20KB，网络流量增加少于 2%。由于 Gmail 应该是使用 N 台服务器分布式处理，所以 CPU 负荷的数据并不具有太多的参考意义，每个连接内存消耗和网络流量数据有参考意义。

[ad]

那么 SSL 既然这么的好，为啥当今互联网上的普及率并不是很高呢？或者说就国内目前的互联网环境来说 SSL 好像并不是网站“标配”，或许下面的这些原因很能说明这个问题：

SSL 证书需要钱。功能越强大的证书费用越高。个人网站、小网站没有必要一般不会用。
SSL 证书通常需要绑定 IP，不能在同一 IP 上绑定多个域名。IPv4 资源不可能支撑这个消耗。（SSL 有扩展可以部分解决这个问题，但是比较麻烦，而且要求浏览器、操作系统支持。WindowsXP 就不支持这个扩展，考虑到 XP 的装机量，这个特性几乎没用。）
HTTPS 连接缓存不如 HTTP 高效，大流量网站如非必要也不会采用。流量成本太高。
HTTPS 连接服务器端资源占用高很多，支持访客稍多的网站需要投入更大的成本。如果全部采用 HTTPS，基于大部分计算资源闲置的假设的 VPS 的平均成本会上去。
HTTPS 协议握手阶段比较费时，对网站的相应速度有负面影响。如非必要，没有理由牺牲用户体验。
最关键的，SSL 证书的信用链体系并不安全。特别是在某些国家（咳咳，你们懂的）可以控制 CA 根证书的情况下，中间人攻击一样可行。

另外，在客户端被植入无数后门、木马的状况下，HTTPS 连接的作用非常有限。这也许是支付宝不可能像 PayPal 那么易用的原因之一。

明月目前的博客和主站都没有启用 SSL 在上述的不足里都提到了，所以对于是否使用 SSL 还是要理智的来分析是不是自己真正需要的，SSL 对前端的用户来说真心没有太大的作用，所谓的“安全性”也绝不是“宣传”的那么毋庸置疑，明月自己感觉如果博客网站上有“在线支付”功能的，SSL 才是“标配”的，像明月这样的主要是“内容分享”的好像真的是很“鸡肋”的，毕竟费用、效率是我不得不主要面对和考虑的问题。