使用HTTPS防止流量劫持

前不久小米等六家互联网公司发表联合声明，呼吁运营商打击流量劫持。流量劫持Z直观的表现，就是网页上被插入了一些乱七八糟的广告/弹窗之类的内容。比如这样：

网页右下角被插入了游戏的广告

流量劫持总体来说属于中间人攻击（Man-in-the-Middle Attack，MITM）的一种，本质上攻击者在通信两端之间对通信内容进行嗅探和篡改，以达到插入数据和获取关键信息的目的。目前互联网上发生的流量劫持基本是两种手段来实现的:

• 域名劫持：通过劫持掉域名的DNS解析结果，将HTTP请求劫持到特定IP上，使得客户端和攻击者的服务器建立TCP连接，而非和目标服务器直接连接，这样攻击者就可以对内容进行窃取或篡改。在极端的情况下甚至攻击者可能伪造目标网站页面进行钓鱼攻击。

• 直接流量修改：在数据通路上对页面进行固定的内容插入，比如广告弹窗等。在这种情况下，虽然客户端和服务器是直接建立的连接，但是数据内容依然可能遭到野蛮破坏。

能够实施流量劫持的根本原因，是HTTP协议没有办法对通信对方的身份进行校验以及对数据完整性进行校验。如果能解决这个问题，则流量劫持将无法轻易发生。

关于流量劫持的更多危害案例，可以参考：《六公司关于抵制流量劫持等违法行为的联合声明》《流量劫持首次被认定为犯罪》

HTTPS，是HTTP over SSL的意思，提到HTTPS就不得不先简单描述一下SSL/TLS协议。SSL协议是Netscape在1995年首次提出的用于解决传输层安全问题的网络协议，其核心是基于公钥密码学理论实现了对服务器身份认证、数据的私密性保护以及对数据完整性的校验等功能。1999年IETF将SSL 3.0标准化，是为TLS 1.0版本，目前TLS协议的Z新版本是1.2版本，TLS 1.3标准正在制定中。为了方便，下文将SSL/TLS协议都简称为SSL协议。

SSL协议在HTTP请求开始之前增加了握手的阶段，其粗略流程如下图所示：

• 在SSL握手阶段，客户端浏览器会认证服务器的身份，这是通过“证书”来实现的，证书由证书权威（CA）为某个域名签发，可以理解为网站的身份证件，客户端需要对这个证件进行认证，需要确定该证书是否属于目标网站并确认证书本身是否有效。Z后在握手阶段，通信的双方还会协商出一个用于加密和解密的会话密钥。

• SSL握手阶段结束之后，服务器和客户端使用协商出的会话密钥对交互的数据进行加密/解密操作，对于HTTP协议来说，就是将HTTP请求和应答经过加密之后再发送到网络上。

由此可见，因为SSL协议提供了对服务器的身份认证，所以DNS劫持导致连接错误服务器的情况将会被发现进而终止连接，Z终导致DNS挟持攻击无法实现。此外SSL协议还提供数据的加密和完整性校验，这就解决了关键信息被嗅探以及数据内容被修改的可能。

要将网站进行HTTPS支持以达到防劫持的效果，首先需要的是为网站的域名搞一张证书。这个证书必须是由知名CA所签发的，这是因为知名CA的根证书广泛的存在于大多数浏览器和操作系统中，因此可以被客户端用来校验网站证书是否合法。

传统CA的证书签发流程大体相同，基本上都是根据证书认证的级别，进行一系列不同流程的认证，然后认证通过后申请者缴纳相应的费用就可以或得到证书。这个流程相对比较繁琐，尤其是对于个人和小型网站管理者来说搞起来也确实麻烦。这里推荐一种新型的方法——使用Let's Encrypt的自动化服务获取免费的证书。

Let's Encrypt项目是由ISRG提供的免费CA服务，其主要目的是减少证书获取的难度，将证书的签发/续签/作废等操作进行自动化处理。Let's Encrypt的使用方法非常简单，按照文档中步骤操作即可。如需进一步了解如何使用Let's Encrypt自动获取免费证书，可以参考：用Let’s Encrypt获取免费证书： https://www.paulyang.cn/blog/archives/39?spm=5176.blog2666.yqblogcon1.11.i02BAh

在获得到证书（以及对应的私钥）之后，主要有如下几种方法来使用：

• 直接在Web服务器上部署证书和私钥，相关apache或nginx都有大量的文档说明，在此就不赘述了

• 在服务器集群的接入层/反向代理处部署证书和私钥，例如阿里云的CDN, SLB和高防IP等产品均提供HTTPS支持，可以直接上传证书和私钥就可以实现网站的HTTPS改造。

阿里巴巴在2015年的双11期间，成功的使用了全站范围（包括淘宝、天猫等核心电商域名）的HTTPS为广大买家提供安全的购物体验，这种体量的HTTPS服务在业界也极为少见。我们在进行电商业务的HTTPS改造时，在密码学、SSL/TLS协议以及PKI体系等领域进行了一系列的优化和创新，并在此过程中积累了大量宝贵的经验。

阿里云做为底层基础设施的提供者，在阿里全站HTTPS化的过程中提供了大量的技术支撑，阿里云的CDN和SLB等产品在HTTPS的加速以及卸载等环节发挥了重要的作用。我们希望能将在淘宝/天猫业务上积累的HTTPS领域的经验和成果，借助阿里云的平台，让更多人来使用，籍此希望跟多的互联网流量能够HTTPS化，让流量劫持再无可能。

交付内容如同江湖走镖，流量劫持形同拦路劫镖，Z后借用我们同事的强图来结束本文，那就是：

七月能到迪拜旅游吗 七月能到迪拜旅游吗现在

    什么时间旅游最便宜？ 我是民宿经营者，吃的是旅游的饭，我可以告诉大家，淡季出行，或者错峰出游比较经济实惠！ 相对于淡季的旺季有，各种小长假，住宿贵，人多，影响旅游体验！像刚刚过去的国庆长假，住宿费日价是平时住宿费日价的一到两倍，如果是乘坐公共交通，票必须提前订好，不然到跟前是订不到高铁票或者飞机票的，如果是自驾游，大家都出来，高速路堵车，也很无奈！等到了目的地，参观的人也多，各种排队，也影响人的心...

       广州海珠安雅移民签证跟虎网科技签定网站建设合作协定 安雅在广州市海珠区前进路36号503。安雅是经广州市海珠区工商局审核的正规企业，统一社会信用代码：9144010133136700XK。同时经国家工信部和广东省通信管理局审核通过ICP备案；备案号：粤ICP备16110562号。安雅选用虎网站企业商务型网站案例，其功能具备实用型所有配置外、特别值得关注的是增设了SEO深度优化，不管是内页还是标题都能够独立和个性化设置关键词和长尾词，更适合进行全站s...

       西安企业网站建设中flash网站的利与弊 很多企业在制作网站的时候，想采用flash动画，企业觉得动画美观大方，下面西安网站建设公司给您说说Flash动画网站的利弊。 　　从费用方面来说,整站Flash制作网站费用一般都得上万,并且对于后期的网站营销十分不利。拿网站优化方面来说,Flash站不利于搜索引擎收录。所以一般网站建设公司不会建议客户采用整站的Flash制作。 　　网站打开速度过于缓慢,大家会看到网页上缓冲的1%、5%...88%...

       网站建设制作有利于企业电商发展 众所周知，在电子商务猖獗到发紫的时代，谁能说网站建设不重要呢?现在的企业，不管在线上的还是线下的，基本上都人手一个网站。有的企业肯花钱，每年砸一大堆资金去做竞价和推广，有时候还不止做一个网站的竞价和推广，热销的关键词有时候是几百一个点击量。效果是做出来了，在百度等多个搜索引擎很容易就能看出效果来，但转化率呢?真正的订单呢?这些可不单只是一个竞价就可以做出来的。企业要做好电子商务，一个有营销思路，易...

       网站设计的事前准备哪些方法可行 如今企业想要设计一个网站，都会做好万全准备，希望这个网站能给企业带来好的发展。网站作为企业一个网络门面，代表的不仅是企业形象，还是一种专业性。不同企业网站都是各种各样，有的能让人印象深刻，有的让人觉得平平无奇，甚至在某些方面的展示能够提升对企业的信任感以及相信对方实力。当然，网站并不盲目去设计，没有相关规划准备容易事与愿违，那么网站设计的事前准备哪些方法可行呢？ 网站设计的事前准备哪些方法可行 　...

       网站设计中搜索功能作用非同小可 不管怎么说，对于一个专业的企业营销型网站而言，给网站设计搜索功能是基本的。网站的内容怎样少，排版怎样简单，没有搜索功能的网站相当于没有站在客户角度思考，并没有考虑到客户在网站操作便捷性。企业在设计网站前期如果没有考虑到这个功能，当以后真的需要搜索功能的时候，再去设计就很难了。如果那个网站设计企业还正常营业就最好，如果已经倒闭将无法给网站增设搜索功能，企业就只能重新找一家网站设计企业重新网站建设了，...