主页 > 网站优化 > 为什么 HTTP 有时候比 HTTPS 好?

为什么 HTTP 有时候比 HTTPS 好?

英文原文:Why HTTP Is Sometimes Better Than HTTPS

(注意:本文有两页,翻开第二页有惊喜,不过是在完整看完第一页之后才会有惊喜……)

做为一家安全公司,我们在站点Stormpath上经常被开发者问到的是有关安全方面最优做法的问题。其中一个被经常问到的问题是:

我是否应当在站点上运行HTTPS?

很不幸,查遍整个因特网,你大多数情况下会得到同样的建议:加密所有的东西!对所有站点进行SSL加密等等!然而,现实情况表明这通常不是一个好的建议。

许多情况下使用HTTP比使用HTTPS要好很多。事实上,HTTP是一个在性能上和可用性上比HTTPS更好的一种协议,这也就是我们经常推荐客户使用HTTP的原因。下面我们说一说我们的理由......
 

使用 HTTPS 会出现的问题

HTTPS 是一个错漏百出的协议. 此协议及其现今流行的实现中许许多多众所周知的问题使得它不适用于许多各种各样的web服务。

HTTPS 十分缓慢

Sloth Sketch

应用 HTTPS 的主要阻碍之一就是 HTTPS 协议十分缓慢的这一事实。

就其特性而言,HTTPS 就是在两端之间进行安全的加密通信。这需要两端都持续耗费宝贵的CPU时间周期:

  • 一开始说“hello”就决定使用哪种类型的加密方式 (暗号方案套件)

  • 验证SSL证书

  • 为每一个请求的验证以及对请求/回应的验证核实,运行加密代码
     

  • 而这听起来不是特别形象,其实就是加密代码运行的是CPU密集型的操作。它会重度使用浮点运算的CPU寄存器,会征用你的CPU从而使得请求的处理变慢。

    这里有一个内容十分丰富的 ServerFault 线程,展示了在使用代用 Apache2 的一个 Ubuntu 服务器时,相比之下的处理速度你所能预计会有多大的降低:。

    如下是结果:

    HTTPS is Slow

    即使是像上面所展示的一个非常简单的示例,HTTPS也能将你的Web服务器的速度拖慢超过40倍! 这可拖了web性能很大的后腿.

    在今天的环境中, 将你的应用程序作为 REST API 的一个组成部分来构建是很普遍的 — 使用 HTTPS 确实是会拖慢你的网站、影响你的应用程序性能并给你的服务器CPU带来不必要的冲击的一种方式,而且通常会惹恼你的用户。

    对于许多对速度敏感的应用程序而言,使用原始的 HTTP 常常要好很多。
     

    HTTPS 不是一个放之四海而皆准的安全保障

    Darth Vader Sketch

    许多人都会抱有 HTTPS 会让他们的站点更安全,这样一种印象。这其实不是真的。

    HTTPS 只是对你和服务器之间的流量进行了加密 — 一旦HTTPS信息的传输中断了,一切就又都是一场公平的游戏。

    这意味着如果你的计算机已经感染的了恶意软件,或者你已经被受到欺骗运行了某些恶意软件 — 这个世界上所有的HTTPS对于你而言也都无能为力了。

    此外,如果 HTTPS 服务器上存在任何的漏洞,某些攻击者就能够简单的等到 HTTPS 已经处理结束,然后再在其它的层(例如 web 服务这一层)抓取到不管什么数据。
     

    SSL 证书本身也经常被滥用。比如,其在浏览器上的处理方式就很容易发生错误:

  • 每种浏览器(Mozilla,google 等)都是独立审计并核准根证书提供商来保证他们安全地处理SSL证书

  • 一旦核准通过,这些根 SSL 证书就会被添加到浏览器的可信证书列表,这意味任何由根证书提供商签名的证书都是默认可信的。

  • 这些提供商因此可随意乱搞,导致各类安全问题频发,比如2011年发生的 DigiNostar 事件。

  • 以上种种,著名证书授权机构错误地签名了大量的伪造和欺诈的证书,直接损害数以万计的Mozilla用户的安全。

    而 HTTP 并没有提供任何形式的加密服务,至少你知道你正在处理什么东西。
     

    HTTPS流量很容易被监听

    如果你正在构建一个需要被不安全的设备(比如移动 app)使用的 web 服务,你可能觉得因为你的服务运行于 HTTPS 上,通信就不会被监听了。

    如果真这么想的话,你就错了。

    其他人可以轻松地在电脑上设置代理来截获并查看HTTPS流量,也就越过了SSL证书检查,这就直接泄漏了你的私人信息。

    这篇博文就演示了移动设备上的 https 消息监听。

    你觉得没多大事?别做梦了!就连Uber这种大公司的移动应用都被逆向了,它们也用了 HTTPS。如果你灰心了,我劝你还是别看这篇文章了。

    提取码请登录后查看!
    说点什么吧
    • 全部评论(0
      还没有评论,快来抢沙发吧!