2017年1月份，??解決Goo(O_O)gle將Chrome 56中所有的書(shū)解 http站點(diǎn)標記為不安全，并對所有使用http方式的用性
登錄交互頁(yè)發(fā)出醒目的“不安全”提示。Apple自2015年WWDC大會(huì )開(kāi)始，解決就在計劃逐步推進(jìn)實(shí)施ATS(App??與后臺服務(wù)器通訊強制使(shi)用https通訊)的書(shū)解實(shí)施，并在2017年WWDC大會(huì )上發(fā)布明確的用性時(shí)間節點(diǎn)，使https服務(wù)成為所有i??OS及MAC上App的解決標配。下面就由新網(wǎng)小編和大家講一講如何解(jie)決ssl證書(shū)解L和TLS證書(shū)服務(wù)的書(shū)解高可用性。 隨著(zhù)一些國際主流CA機構免費型DV SSL證書(shū)產(chǎn)品的用??性出現，SSL/TLS證書(shū)的解決應用越來(lái)越廣泛。SSL證書(shū)與域名一樣，書(shū)解很快會(huì )成為每一個(gè)互聯(lián)網(wǎng)站點(diǎn)不可或缺的用性基礎(chu)服務(wù)要素。SSL/TLS證書(shū)的解決應用逐漸普及，越來(lái)越多的書(shū)解
站點(diǎn)正在加速啟用全站https服務(wù)。而在瀏覽器方面，用性Chrome及Firefox在所有新發(fā)布的瀏覽器版本中支持(chi)HSTS。已經(jīng)有相當一部分站點(diǎn)啟用了HSTS服務(wù)，徹底將(′ω｀*)http服務(wù)從支持的選項列表中移除。 一、如何保障SSL/TLS證書(shū)的安全及可靠？ 全面的推廣和應用SSL/TLS，會(huì )給站點(diǎn)安全性帶來(lái)質(zhì)的提升，徹底杜絕中間人攻擊、網(wǎng)絡(luò )劫持等攻擊行為。但于此同時(shí)，考慮全站https之后的高可用保障時(shí)，SSL/TLS證書(shū)的安全性問(wèn)題就逐步凸顯出來(lái)。 如何確保https服務(wù)能夠7*24不間斷服務(wù)，不僅是企業(yè)內部IT運營(yíng)團隊需要考慮的問(wèn)題，同時(shí)也對第三方CA服務(wù)商提出了更高的要求。 一旦第三方CA服務(wù)商出現運營(yíng)或安全事故，將導致CA服務(wù)商的認證服務(wù)不可用。這將直接影響到使用企業(yè)IT服務(wù)的最終用戶(hù)。無(wú)論是PC客戶(hù)端瀏、?移動(dòng)終端，還是API接口程序，都將有可能因此受到?jīng)_擊，導致服務(wù)不可用。 因此在進(jìn)行站點(diǎn)高保障安全運營(yíng)維護工作的同時(shí)，要求SSL/TLS服務(wù)供應商也必須確保提供7*24不間斷的高可用性服務(wù)，才能保障服務(wù)的(de)可靠性。 二、SSL/TLS證書(shū)服務(wù)需注意這三點(diǎn)： 比起單純的采用一張SSL/TLS證書(shū)，要確保高可用性保障的服務(wù)站點(diǎn)不受一家第三方CA認證機構的安全或運營(yíng)事故牽連，同時(shí)使??用兩家不同的CA機構提供的高可用性SSL/TLS證書(shū)服務(wù)就顯得尤為必要了。 無(wú)論是選擇一張SSL/TLS證書(shū)服務(wù)，還是采用雙證書(shū)方案同時(shí)使用兩張SSL/TLS證書(shū)，都需要首先考察CA服務(wù)機構在服務(wù)保障上的工作是否有做足功課。 首先，CA機構在體量上，當然是越大越好。選擇全球排名靠前的幾家大型老牌CA機構的產(chǎn)品，能夠確保CA機構的產(chǎn)品有更深厚的技術(shù)積累和安全保障。不會(huì )因為黑客組織或個(gè)人的攻擊行為、系統安全系統漏洞??、認證不規范等各種原因導致服務(wù)中斷或被其他機構列入信任黑名單。 其次，CA服務(wù)商在此之前是否發(fā)生過(guò)大的安全或運營(yíng)事故，是否遭受過(guò)嚴厲懲罰措施也是需要預先考察的。在事故發(fā)生后，CA服務(wù)商能否協(xié)調各方快速及時(shí)處理，并保障最小限度的影響客戶(hù)的這種┐(′ー｀)┌能力，也會(huì )給客戶(hù)的證書(shū)應用保障加分。 最后，CA服務(wù)商在國內是否有服務(wù)加速。 證書(shū)簽發(fā)后，在證書(shū)的使用過(guò)程中，通常還需要客戶(hù)端請求CA系統獲取證書(shū)有效性驗證信息。證書(shū)的有效性驗證，主要采用兩種方式：OCSP及CRL。 OCSP的驗證數據包體積較小，但對應答的及時(shí)性有要求。服務(wù)器延時(shí)越小，客戶(hù)端驗證速度越快。 CRL的驗證數據包體積較大，但支持CRL支持緩存?？赏ㄟ^(guò)CA服務(wù)商的CDN加速服務(wù)網(wǎng)絡(luò )分發(fā)。因此要求CA服務(wù)商在國內使用CDN加速服務(wù)也是很有必要的。 以下方案，主證書(shū)采用Digicert（原Symantec）品牌，備份證書(shū)采用Entrust或GlobalSign品牌。
三、如何部署實(shí)(shi)施高可用性雙證書(shū)？ 1.單證書(shū)在線(xiàn) 單證書(shū)在線(xiàn)方案實(shí)施起來(lái)非常簡(jiǎn)單，也很好理解其運行模式。主證書(shū)部署在服務(wù)器上，備份證(zheng)書(shū)在主證書(shū)正常運行期間并不需要安裝部署。一旦發(fā)生CA服務(wù)??商安全或運營(yíng)事故的情況，可通過(guò)手動(dòng)更新配置啟用備份證書(shū)并下線(xiàn)主證書(shū)，或通(′?ω?`)過(guò)自動(dòng)化部署腳本自動(dòng)切換到備份證書(shū)服務(wù)上。 主證書(shū)可按照應用需求，購買(mǎi)單域名、增強驗證型帶綠色地址欄的EV型、多域名或(huo)通配符等類(lèi)型的證書(shū)。主證書(shū)的注冊申請、維護和安裝仍然使用原有的模式，不改變部署安裝習慣。 備份證書(shū)??推薦采用多域名，或通配符證書(shū)。只需要確保備份證書(shū)能夠快速覆蓋主證書(shū)的服務(wù)范圍，通常不需要頻繁的變更或重新注冊申請。并且在需要應急啟用時(shí)，能夠快速變更替換主證(zheng)書(shū)對應的服務(wù)。 2.源站服務(wù)器使用主證書(shū)，CDN、高防、WAF等服務(wù)使用備份證書(shū) 使用CDN、高防或WAF服務(wù)的用戶(hù)，可在源站服務(wù)器上安裝使用主證書(shū)，在CDN、高防、WAF等服務(wù)中使用備證書(shū)。 通常這ヽ(′?｀)ノ類(lèi)服務(wù)還可能委托給(gei)第三方CDN服務(wù)商來(lái)部署??實(shí)施，所以這種模式下使用雙證書(shū)方案時(shí)，選擇兩個(gè)不同的CA服務(wù)商提供的產(chǎn)品不僅能夠規避CA運營(yíng)或安全封信問(wèn)題，同時(shí)源站與CDN、高防、WAF服務(wù)上配置的證書(shū)使用的證書(shū)密鑰對也是不同???的。任何一個(gè)證書(shū)出現的運營(yíng)安全故障（如秘鑰丟失、秘??鑰泄密）都可以快速定位責任主體。第三方CDN服務(wù)商的秘鑰泄露也不會(huì )影響到源站的數據傳輸安全。小伙伴們要想獲得更多ssl證書(shū)解碼的內容，請關(guān)注新網(wǎng)！
