Heartbleed動(dòng)搖了人們對互聯(lián)網(wǎng)安全的信心，但是如果沒(méi)有這些加密軟件，我們生活的世界會(huì )變得比現在更加糟糕。也許我們是時(shí)候朝新的方向展望——讓加密無(wú)所不在。
大多數大型網(wǎng)站的加密方式無(wú)非兩種要么是SSL，要么是TLS，兩種安全協(xié)議都可以保護用戶(hù)的密碼安全和信用卡信息安全，保證信息在個(gè)人用戶(hù)瀏覽器和服務(wù)器之間傳輸時(shí)的安全。鑒別網(wǎng)站是否使用這兩種加密協(xié)議，只要看網(wǎng)址開(kāi)頭是不是HTTPS，如果是，說(shuō)明網(wǎng)站正在使用SSL協(xié)議或TLS協(xié)議。但是少數網(wǎng)站，例如Facebook和Gmail，會(huì )對全站流量使用加密協(xié)議，而并非僅僅對密碼和支付細節使用。
包括Google的內部搜索專(zhuān)家Matt Cutts在內的許多安全領(lǐng)域專(zhuān)家認為互聯(lián)網(wǎng)是時(shí)候普及這種全面加密模式了。
Cutts掌管Google的頁(yè)面垃圾團隊。他幫助公司調試搜索引擎算法，使特定網(wǎng)站的排名高于其它網(wǎng)站。比如加載更快的網(wǎng)站會(huì )優(yōu)先顯示，而復制甚至剽竊其它站點(diǎn)文本的網(wǎng)站排名會(huì )下降。
按照Cutts的算法，Google會(huì )優(yōu)先顯示HTTPS協(xié)議網(wǎng)站。如果Google真的采納并實(shí)施Cutts的方案，無(wú)疑會(huì )造成一波HTTPS狂潮，因為對于網(wǎng)站來(lái)說(shuō)搜索排名就是一切。
Cutts對這個(gè)方案的利弊決口不談，但是他說(shuō)這個(gè)方案爭議性很大，Google內部也有反對意見(jiàn)。一位Google發(fā)言人只是說(shuō)目前公司不便透露?？磥?lái)突然變動(dòng)的可能性十分小。
著(zhù)名的白帽黑客Moxie Marlinspike是前Twitter工程師，在他的職業(yè)生涯中他發(fā)現了許多協(xié)議中的若干個(gè)致命BUG，他還提出了解決協(xié)議中信任問(wèn)題和驗證問(wèn)題的替代性方案，他稱(chēng)之為Convergence。他認為，盡可能在所有地方使用HTTPS協(xié)議是有利的。
使用HTTPS時(shí)，數據會(huì )被編碼。理論上只有你和與你交換信息的服務(wù)器能夠讀取信息。
許多大型網(wǎng)站只在用戶(hù)登錄或涉及到信用卡信息進(jìn)行購買(mǎi)時(shí)才使用HTTPS協(xié)議。這種情況從2012年軟件開(kāi)發(fā)者Eric Butler放出業(yè)余黑客工具FireSheep時(shí)開(kāi)始改變，利用FireSheep用戶(hù)可以輕松獲取共享網(wǎng)絡(luò )里其他用戶(hù)的賬戶(hù)——在公共場(chǎng)所提供的Wi-Fi就可以辦到。
Butler也同意更普遍的HTTPS使用會(huì )讓安全性更高，他指出HTTP協(xié)議會(huì )讓政府或罪犯偷窺到用戶(hù)的行為。The Intercept的技術(shù)工程師Micah Lee指出HTTPS不應該僅僅被用于保護用戶(hù)密碼和其他敏感信息。
HTTPS并不是簡(jiǎn)單地對用戶(hù)電腦和服務(wù)器之間傳遞的信息加密，還會(huì )驗證用戶(hù)下載的信息是否來(lái)自用戶(hù)認為的來(lái)源——再次聲明，是理論上。這是一般HTTP協(xié)議無(wú)法做到的。
如果HTTPS如此強大，為什么大家都不用？使用HTTPS會(huì )帶來(lái)許多缺點(diǎn)。
第一個(gè)缺點(diǎn)是增加成本，從幾大證書(shū)管理機構購買(mǎi)TLS證書(shū)要花錢(qián)，每年花費大概在10-1000美元，不同的證書(shū)價(jià)格取決于你要購買(mǎi)的證書(shū)種類(lèi)，以及證書(shū)能提供的驗證級別。
另一個(gè)問(wèn)題是HTTPS增加了服務(wù)器資源消耗，結果是網(wǎng)站變慢。但是Marlinspike和Butler說(shuō)實(shí)際上人們大大高估了成本和資源占用。
小型網(wǎng)站通常使用廉價(jià)的共享托管主機，在網(wǎng)站安裝唯一證書(shū)難度很大。如果使用HTTPS協(xié)議，使用CDN加速的網(wǎng)站會(huì )面對不少難題。今天這兩大問(wèn)題大體上已經(jīng)解決，雖然不同主機之間的花銷(xiāo)、性能和復雜度各不相同。
即便整個(gè)互聯(lián)網(wǎng)對完全切換到HTTPS協(xié)議還沒(méi)有做好準備，網(wǎng)站都應該開(kāi)始默認使用HTTPS協(xié)議——尤其是提供軟件和公共信息的網(wǎng)站。就算Google的新政策不實(shí)行，只要想想從FrieSheep出現到現在黑客技術(shù)已經(jīng)前進(jìn)到了何種程度，你就會(huì )覺(jué)得HTTPS的大規模推廣是絕對有必要的。
聯(lián)系客服
