共计 17686 个字符，预计需要花费 45 分钟才能阅读完成。
[TOC]
0x00 前言简述
SSL/TLS 简略阐明
形容: 当下越来越多的网站管理员为企业站点或本人的站点进行了 SSL/TLS 配置, SSL/TLS 是一种简略易懂的技术，它很容易部署及运行，但要对其进行平安部署的状况下通常是不容易。
如果想把握如何配置一个平安的 web 服务器或利用，往往须要系统管理员和开发者去理解 SSL 和 TLS 相干的技术, 这无疑会消耗很大的精力去看相干的技术文档，乏味且宽泛并加大了学习老本。
所以本篇文章次要是为了让系统管理员或开发者用尽可能少的工夫部署一个平安的 web 站点或利用，即 SSL 和 TLS 部署最佳实际，但在学习实际之前咱们须要理解一下 SSL/TLS 相干术语，防止在后续实际中一头雾水。
原文地址:
- 如何让 HTTPS 站点评级达到 A +? 还得看这篇 HTTPS 平安优化配置最佳实际指南【https://blog.weiyigeek.top/2022/4-6-11.html】
- 如何让 HTTPS 站点更加平安? 这篇 HTTPS 平安加固配置最佳实际指南就够了【https://blog.weiyigeek.top/2022/4-6-11.html】
<!– more –>
前置常识举荐理解
- HTTPS 原理介绍以及证书签名的申请配置(https://blog.weiyigeek.top/2019/10-21-10.html)
- SSL 与 TLS 协定原理和证书签名生成实际指南 (https://blog.weiyigeek.top/2019/10-21-12.html)
SSL/TLS 相干术语一览
EV : EV 证书 (Extended Validation Certificate) 是一种依据一系列特定规范颁发的 X.509 电子证书，依据要求，在颁发证书之前，证书颁发机构 (CA) 必须验证申请者的身份。不同机构依据证书规范发行的扩大验证证书并无太大差别，然而有时候依据一些具体的要求，特定机构发行的证书能够被特定的软件辨认。
OV : OV 证书(Organization Validation SSL)，指须要验证网站所有单位的实在身份的标准型 SSL 证书，此类证书不仅可能起到网站信息加密的作用，而且能向用户证实网站的实在身份。
DV : DV 证书(Domain Validation SSL)，指须要验证域名的有效性。该类证书只提供根本的加密保障，不能提供域名所有者的信息。
CAA : DNS Certification Authority Authorization，应用 DNS 来指定该域名能够由哪些 CA 机构签发证书，这不是为 TLS 层的平安提供保障，而是作为 CA 签发证书程序中的一部分。应用 CAA 能够防止一些 CA 签发谬误证书的状况。
CSR : CSR(Certificate Signing Request)，在 PKI 零碎中，CSR 文件必须在申请和购买 SSL 证书之前创立，也就是证书申请者在申请数字证书时由 CSP(加密服务提供者)在生成私钥的同时也生成证书申请文件，证书申请者只有把 CSR 文件提交给证书颁发机构后，证书颁发机构应用其根证书私钥签名就生成了证书公钥文件
CT : CT (Certificate Transparency) 证书通明，Certificate Transparency 的指标是提供一个凋谢的审计和监控零碎，能够让任何域名所有者或者 CA 确定证书是否被谬误签发或者被歹意应用，从而进步 HTTPS 网站的安全性。
CRL : CRL(Certificate revocation list 证书撤消列表) 是一个曾经被撤消的数字证书的名单，这些在证书撤消列表中的证书不再会受到信赖，但目前 OCSP(在线证书状态协定)能够代替 CRL 实现证书状态查看。
OCSP : OCSP(Online Certificate Status Protocol)是一个用于获取 X.509 数字证书撤销状态的网际协议，在 RCF 6960 中定义，作为证书撤消列表的替代品解决公开密钥根底建设 (PKI) 中应用证书撤消列表而带来的多个问题。协定数据传输过程中应用 ASN.1 编码，并通常创立在 HTTP 协定上
OCSP Stapling : OCSP 装订，是 TLS 证书状态查问扩大，作为在线证书状态协定的代替办法对 X.509 证书状态进行查问，服务器在 TLS 握手时发送当时缓存的 OCSP 响应，用户只有验证该响应的时效性而不必再向数字证书认证机构(CA) 发送申请，能够放慢握手速度。
RSA : RSA 加密算法是一种非对称加密算法。在公开密钥加密和电子商业中 RSA 被宽泛应用。对极大整数做因数分解的难度决定了 RSA 算法的可靠性，反对签名和加密。
ECC : ECDSA（椭圆曲线签名算法）的常见叫法，和 RSA 同时具备签名和加密不同，它只能做签名，它的劣势是具备很好的性能、大小和安全性更高。
DH/DHE : Diffie-Hellman(DH)密钥替换是一种密钥替换的协定，DH 的窍门是应用了一种正向计算简略、逆向计算艰难的数学函数，即便替换中某些因子已被通晓，状况也是一样。DH 密钥替换须要 6 个参数，其中两个 (dh_p 和 dh_g) 称为域参数，由服务器选取，协商过程中，客户端和服务器各自生成另外两个参数，互相发送其中一个参数 (dh_Ys 和 dh_Yc) 到对端，在通过计算，最终失去共享密钥。长期 Diffie-Hellman(ephemeral Diffie-Hellman,DHE)密钥替换中没有任何参数被反复利用。与之绝对，在一些 DH 密钥替换形式中，某些参数是动态的，并被嵌入到服务器和客户端的证书中，这样的话密钥替换的后果是始终不变的共享密钥，就无奈具备前向窃密的能力。
ECDH/ECHDE : 椭圆曲线 Diffie-Hellman(elliptic curve Diffie-Hellman，ECDH)密钥替换原理与 DH 类似，然而它的外围应用了不同的数学根底，ECHD 基于椭圆曲线加密，ECDH 密钥替换产生在一条由服务器定义的椭圆曲线上，这条曲线代替了 DH 中域参数的角色，实践上，ECDH 反对动态的密钥替换。长期椭圆曲线 Diffie-Hellman 密钥替换，和 DHE 相似，应用长期的参数，具备前向窃密的能力。
RC4 : 是一种流加密算法，对称加密，密钥长度可变。因为 RC4 算法存在弱点，2015 年 2 月所公布的 RFC 7465 规定禁止在 TLS 中应用 RC4 加密算法, Chrome 48 版本开始会回绝与「以 RC4 做为对称加密算法的 CipherSuite」建设 TLS 连贯。
3DES : 在加密套件中很多的明码应用的是 3DES_EDE_CBC 这种类型的，在维基上 3DES 提供的 bits 数是 192bits(168+24)，但因为 Meet-in-the-middle attack 攻打的影响，只能提供 112bits 的平安。因而在等级评定上应用 192bits，在套件的安全性上应用 112bits.
PSK : PSK 是“Pre-Shared Key”的缩写。就是 事后让通信单方共享一些密钥（通常是对称加密密钥）, 这种算法用的不多它的益处是：不须要依赖公钥体系，不须要部属 CA 证书。不须要波及非对称加密，TLS 协定握手（初始化）时的性能好于 RSA 和 DH, 密钥替换时通信单方曾经事后部署了若干个共享的密钥为了标识多个密钥，给每一个密钥定义一个惟一的 ID 客户端通过 ID 和服务端进行通信。
SRP : TLS-SRP（Secure Remote Password）明码套件有两类：第一类明码套件仅应用 SRP 认证。第二类应用 SRP 认证和公共密钥证书来减少安全性。
TLS GREASE : 为了放弃可扩展性，服务器必须疏忽未知值，是 Chrome 推出的一种探测机制。GREASE for TLS (https://tools.ietf.org/html/d…)
AEAD : 全称是应用关联数据的已验证加密，Authenticated Encryption with Associated Data (AEAD) algorithms, 是用一个算法在外部同时实现 cipher+MAC，是 TLS1.2、TLS1.3 上采纳的古代加密算法, 相干明码套件(https://tools.ietf.org/html/r…)：
TLS_RSA_WITH_AES_128_CCM = {0xC0,0x9C}
TLS_RSA_WITH_AES_256_CCM = {0xC0,0x9D)
TLS_DHE_RSA_WITH_AES_128_CCM = {0xC0,0x9E}
TLS_DHE_RSA_WITH_AES_256_CCM = {0xC0,0x9F}
TLS_RSA_WITH_AES_128_CCM_8 = {0xC0,0xA0}
TLS_RSA_WITH_AES_256_CCM_8 = {0xC0,0xA1)
TLS_DHE_RSA_WITH_AES_128_CCM_8 = {0xC0,0xA2}
TLS_DHE_RSA_WITH_AES_256_CCM_8 = {0xC0,0xA3}AES-GCM : AES-GCM 是一种 AEAD，是目前 TLS 的主力算法，互联网上 https 流量的大部分依赖应用 AES-GCM。
ChaCha20-poly1305 : ChaCha20-poly1305 是一种 AEAD，提出者是 Daniel J. Bernstein 传授，针对挪动互联网优化，目前 Google 对挪动客户端的所有流量都应用 ChaCha20-Poly1305
AES-CBC : 对于 AES-CBC，在 AES-GCM 风行之前，TLS 次要依赖 AES-CBC，而因为历史起因，TLS 在设计之初固定抉择了 MAC-then-Encrypt 构造，AES-CBC 和 MAC-then-encrypt 联合，为抉择密文攻打 (CCA) 发明了便当条件，TLS 历史上有多个破绽都和 CBC 模式无关。
PFS : PFS(perfect forward secrecy)正向窃密，在密码学中也能够被称为 FS(forward secrecy)，是平安通信协议的个性，要求一个密钥只能拜访由它所爱护的数据，用来产生密钥的元素一次一换，不能再产生其余的密钥，一个密钥被破解，并不影响其余密钥的安全性。
HPKP : 公钥固定，这是一种 https 网站避免攻击者应用 CA 谬误颁发的证书进行中间人攻打的一种平安机制，用于预防诸如攻击者入侵 CA 偷发证书、浏览器信赖 CA 签发伪造证书等状况，采纳该机制后服务器会提供一个公钥哈希列表，客户端在后续的通信中只承受该列表上的一个或多个公钥。
HPKP 是一个响应头
Public-Key-Pins:max-age=xxx;pin-sha256=xxxx;includeSubDomains;其中能够应用多个 pin-sha256，pin-sha256 的值是对证书公钥 sha256 的值，includeSubDomains 决定是否蕴含所有子域名，在 max-age 所指定的工夫内 (秒)，证书链中的证书至多一个公钥须和固定公钥相符，这样客户端才认为该证书链是无效的,
还有一种响应头：Public-Key-Pins-Report-Only:max-age=xxx;pin-sha256=xxxx;includeSubDomains;report-uri=xxx,Public-Key-Pins-Report-Only 中的 report-uri，决定是否回报违反 HTTP 公钥固定策略的事件。客户端进行 HTTP 公钥固定验证失败后，将把此次谬误详情以 JSON 格局回报个 report-uri 参数中指定的服务器。
H2 : HTTP/2 的协定名称，书面语叫法 HTTP2 和 http/1.1 是一个概念，通过 ALPN 协商, HTTP/2 中只能应用 TLSv1.2+ 协定。
CSP : CSP，全称是 Content Security Policy，它有十分多的指令，用来实现各种各样与页面内容平安相干的性能。这里只介绍两个与 HTTPS 相干的指令，更多内容能够看我之前写的《Content Security Policy Level 2 介绍》。
block-all-mixed-content：后面说过，对于 HTTPS 中的图片等 Optionally-blockable 类 HTTP 资源，古代浏览器默认会加载。图片类资源被劫持，通常不会有太大的问题，但也有一些危险，例如很多网页按钮是用图片实现的，中间人把这些图片改掉，也会烦扰用户应用。通过 CSP 的 block-all-mixed-content 指令，能够让页面进入对混合内容的严格检测（Strict Mixed Content Checking）模式。在这种模式下，所有非 HTTPS 资源都不容许加载。跟其它所有 CSP 规定一样，能够通过以下两种形式启用这个指令。
HTTP 响应头形式：Content-Security-Policy: block-all-mixed-content
标签形式：upgrade-insecure-requests通过 CSP 指令，能够让浏览器帮忙做这个转换。启用这个策略后，有两个变动页面所有 HTTP 资源，会被替换为 HTTPS 地址再发动申请, 页面所有站内链接，点击后会被替换为 HTTPS 地址再跳转；
跟其它所有 CSP 规定一样，这个指令也有两种形式来启用，具体格局请参考上一节。须要留神的是upgrade-insecure-requests只替换协定局部，所以只实用于 HTTP/HTTPS 域名和门路完全一致的场景。
HSTS: 在网站全站 HTTPS 后，如果用户手动敲入网站的 HTTP 地址，或者从其它中央点击了网站的 HTTP 链接，依赖于服务端 301/302 跳转能力应用 HTTPS 服务。而第一次的 HTTP 申请就有可能被劫持，导致申请无奈达到服务器，从而形成 HTTPS 降级劫持。该问题能够通过 HSTS（HTTP Strict Transport Security，RFC6797）来解决。
HSTS 是一个响应头，格局如下：
Strict-Transport-Security: max-age=expireTime [; includeSubDomains] [; preload]
- max-age，单位是秒，用来通知浏览器在指定工夫内，这个网站必须通过 HTTPS 协定来拜访。也就是对于这个网站的 HTTP 地址，浏览器须要先在本地替换为 HTTPS 之后再发送申请。
- includeSubDomains，可选参数，如果指定这个参数，表明这个网站所有子域名也必须通过 HTTPS 协定来拜访。
- preload，可选参数，前面再介绍它的作用。
舒适提醒: HSTS 这个响应头只能用于 HTTPS 响应；网站必须应用默认的 443 端口；必须应用域名且不能是 IP。而且启用 HSTS 之后一旦网站证书谬误，用户无奈抉择疏忽。
HSTS Preload List: HSTS 能够很好的解决 HTTPS 降级攻打，然而对于 HSTS 失效前的首次 HTTP 申请，仍然无奈防止被劫持。浏览器厂商们为了解决这个问题，提出了 HSTS Preload List 计划：内置一份能够定期更新的列表，对于列表中的域名，即便用户之前没有拜访过，也会应用 HTTPS 协定。目前这个 Preload List 由 Google Chrome 保护，Chrome、Firefox、Safari、IE 11 和 Microsoft Edge 都在应用。
如果要想把本人的域名加进这个列表，首先须要满足以下条件, 不过值得注意的是即使满足了上述所有条件，也不肯定能进入 HSTS Preload List，更多信息能够看这里。
- 领有非法的证书（如果应用 SHA-1 证书，过期工夫必须早于 2016 年）；
- 将所有 HTTP 流量重定向到 HTTPS；
- 确保所有子域名都启用了 HTTPS；
- 输入 HSTS 响应头：
- max-age 不能低于 18 周（10886400 秒）；
- 必须指定 includeSubdomains 参数；
- 必须指定 preload 参数；
舒适提醒: 通过 Chrome 的chrome://net-internals/#hsts工具，能够查问某个网站是否在 Preload List 之中，还能够手动把某个域名加到本机 Preload List。
SNI : SNI(服务器名称批示)，这个是一个扩大的 TLS 协定，在该协定中，在 TLS 握手过程中客户端能够指定服务器的主机名称，这容许服务器在雷同的 IP 和端口上部署多个证书，并容许在雷同的 IP 地址上提供多个 HTTPS 网站或者基于 TLS 的服务。
SRI : HTTPS 能够避免数据在传输中被篡改，非法的证书也能够起到验证服务器身份的作用，然而如果 CDN 服务器被入侵，导致动态文件在服务器上被篡改，HTTPS 也无能为力。W3C 的 SRI（Subresource Integrity）标准能够用来解决这个问题。SRI 通过在页面援用资源时指定资源的摘要签名，来实现让浏览器验证资源是否被篡改的目标。只有页面不被篡改，SRI 策略就是牢靠的, 无关 SRI 的更多阐明请看 Jerry Qu 写的《Subresource Integrity 介绍》。SRI 并不是 HTTPS 专用，但如果主页面被劫持，攻击者能够轻松去掉资源摘要，从而失去浏览器的 SRI 校验机制。
ALPN : ALPN(应用层协定协商 Application-Layer Protocol Negotiation) 是一个进行应用层协定协商的传输层平安协定 (TLS) 扩大，ALPN 容许应用层协商应该在平安连贯上履行哪个协定，以防止额定且独立于应用层协定的往返协商通信, 它已被 HTTP/ 2 应用。
NPN : NPN(Next Protocol Negotiation) 下一协定协商，在 TLS 上容许应用层协商应用哪个协定，在 2014 年 7 月 11 日的 RFC 7301 中应用 ALPN 代替 NPN。
STARTTLS : STARTTLS 是对纯文本通信协议 (SMTP/POP3/IMAP) 的扩大。它提供一种形式将纯文本连贯降级为加密连贯（TLS 或 SSL），而不是另外应用一个端口作加密通信。RFC 2595 定义了 IMAP 和 POP3 的 STARTTLS；RFC 3207 定义了 SMTP 的；
Session ID : Session ID 实现 SSL 握手后会取得一个编号（Session ID）。如果对话中断，下次重连的时候，只有客户端给出这个编号，且服务器有这个编号的缓存，单方就能够从新应用已有的 ” 对话密钥 ”，而不用从新生成一把（握手的次要开销）。因为要缓存每个连贯的握手参数，服务端存储开销会比拟大。
Session Ticket : Session ticket 取得形式和 SessionID 相似，然而应用时是在每次握手时由服务器进行解密，取得加密参数。服务端无需维持握手参数，能够缩小内存开销。
POODLE : POODLE(贵宾犬破绽 CVE-2014-3566)，贵宾犬破绽的根本原因是 CBC 模式在设计上的缺点，具体来说就是 CBC 只对明文进行了身份验证，然而没有对填充字节进行完整性校验。这使得攻击者能够对填充字节批改并且利用填充预示来复原加密内容，让 POODLE 攻打成为可能的起因是 SSL3 中过于涣散的填充构造和校验规定。
TLS POODLE：TLS POODLE(TLS 贵宾犬破绽 CVE-2014-8730) 该破绽的原理和 POODLE 破绽的原理统一，但不是 SSL3 协定，而是在 TLS 协定上，TLS 协定自身没有问题，然而在其实现上。一些开发人员在进行 SSL3 到 TLS 的转换的时候，没有恪守协定规定的填充要求，使得他们的实现容易受到 POODLE 攻打的威逼
DROWN : 一句话概括就是“应用 SSLv2 对 TLS 进行穿插协定攻打”，DROWN(CVE-2016-0800)示意仅反对 SSL2 是对古代服务器和客户端的威逼，它容许攻击者通过讲探测发送到反对 SSLv2 的服务器并应用雷同的私钥来解密最新客户端和服务器之间的 TLS 连贯，如果如果服务器容易受到 DROWN 的影响，有两种起因：
- 服务器容许 SSL2 连贯
- 私钥用于容许 SSL2 连贯的其余服务器，即便是另一个反对 SSL/TLS 的协定，例如，Web 服务器和邮件服务器上应用雷同的私钥和证书，如果邮件服务器反对 SSL2，即便 web 服务器不反对 SSL2，攻击者能够利用
- 邮件服务器来毁坏与 web 服务器的 TLS 连贯。
应用40bit的进口限度 RSA 加密套件，单台 PC 能在一分钟内实现工具，对于攻打的个别变体（对任何 SSL2 服务起作用）也能够在 8 个小时内实现。
Logjam : Logjam(CVE-2015-4000) 应用 Diffie-Hellman 密钥替换协定的 TLS 连贯很容易受到攻打，尤其是 DH 密钥中的公钥强度小于 1024bits。中间人攻击者可将有破绽的 TLS 连贯降级至应用 512 字节导出级加密。这种攻打会影响反对 DHE_EXPORT 明码的所有服务器。这个攻打可通过为两组弱 Diffie-Hellman 参数事后计算 512 字节质数实现，特地是 Apache 的 httpd 版本 2.1.5 到 2.4.7，以及 OpenSSL 的所有版本。
BEAST : BEAST(CVE-2011-3389) BEAST 攻打针对 TLS1.0 和更早版本的协定中的对称加密算法 CBC 模式，初始化向量 IV 能够预测，这就使得攻击者能够无效的讲 CBC 模式减弱为 ECB 模式，ECB 模式是不平安的
Downgrade : Downgrade attack(降级攻打) 是一种对计算机系统或者通信协议的攻打，在降级攻打中，攻击者成心使零碎放弃旧式、安全性高的工作形式，反而应用为向下兼容而筹备的老式、安全性差的工作形式，降级攻打常被用于中间人攻打，讲加密的通信协议安全性大幅减弱，得以进行本来不可能做到的攻打。在古代的回退进攻中，应用独自的信号套件来批示被迫降级行为，须要了解该信号并反对更高协定版本的服务器来终止协商，该套件是 TLS_FALLBACK_SCSV(0x5600)
MITM : MITM(Man-in-the-middle) 是指攻击者与通信的两端别离创立独立的分割，并替换其所有收到的数据，使通信的两端认为他们正在通过一个私密的连贯与对方直接对话，但事实上整个对话都被攻击者齐全管制，在中间人攻打中，攻击者能够拦挡通信单方的通话并插入新的内容。一个中间人攻打能胜利的前提条件是攻击者可能将本人伪装成每个参加会话的终端，并且不被其余终端识破。
Openssl Padding Oracle : Openssl Padding Oracle(CVE-2016-2107) openssl 1.0.1t 到 openssl 1.0.2h 之前没有思考某些填充查看期间的内存调配，这容许近程攻击者通过针对 AES CBC 会话的 padding-oracle 攻打来获取敏感的明文信息。
CCS : CCS(openssl MITM CCS injection attack CVE-2014-0224) 0.9.8za 之前的 Openssl，1.0.0m 之前的以及 1.0.1h 之前的 openssl 没有适当的限度 ChangeCipherSpec 信息的解决，这容许中间人攻击者在通信之间应用 0 长度的主密钥。
FREAK : FREAK(CVE-2015-0204) 客户端会在一个全平安强度的 RSA 握手过程中承受应用弱平安强度的进口 RSA 密钥，其中关键在于客户端并没有容许协商任何进口级别的 RSA 明码套件。
Export-cipher : 在 1998 年 9 月之前，美国已经限度进口高强度的加密算法。具体来说，限度对称加密强度为最大 40 位，限度密钥替换强度为最大 512 位。
CRIME : CRIME(Compression Ratio Info-leak Made Easy CVE-2012-4929)，这是一种可攻打安全隐患，通过它可窃取启用数据压缩个性的 HTTPS 或 SPDY 协定传输的私密 Web Cookie。在胜利读取身份验证 Cookie 后，攻击者能够履行会话劫持和动员进一步攻打。
Heartbleed : Heartbleed(心血破绽 CVE-2014-0160) 是 Openssl 的程序破绽，如果应用带缺点的 Openssl 版本，无论是服务器还是客户端，都可能因而受到攻打。此问题的起因是在实现 TLS 的心跳扩大时没有对输出进行适当的验证（短少边界查看），该程序谬误属于缓冲区过读，即能够读取的数据比应该容许读取的还多。
0x01 HTTPS 平安实际指南
1. 证书 (certificate) 与私钥(Private key)
形容: 在 TLS 中所有的安全性都从服务器的明码标识开始，所以咱们须要一个弱小的私钥以及有一个无效的和弱小的证书来避免攻击者进行模仿攻打。
最佳平安实际
1.1) 倡议应用 2048 位的 RSA 私钥或者 128 位的 ECDSA 私钥, 留神如果应用 RSA 私钥想要取得 128 位的安全性, 则须要 3072 位的 RSA key, 但会对性能造成肯定影响, 所以举荐应用 ECDSA key 它是一种提供更好安全性和更好性能的代替办法。
1.2) 倡议爱护好你的私钥, 在可信计算机上用足够的熵生成公有密钥, 将密钥进行加密存储调配给指定人员治理, 能够拜访领有私钥的人越少越好, 除非放弃雷同的密钥对于公钥密钥很重要，否则每当取得新证书时，还应该生成新的私钥。
1.3) 倡议从可信 CA 颁发获取证书, 抉择 CA 时重点思考如果以下条件提供商是否产生过平安危险、业务侧重点、是否提供对证书撤消列表（CRL）和在线证书状态协定（OCSP）撤销办法的反对、是否提供便捷的证书治理无奈。
1.4) 倡议应用强签名算法, 证书安全性取决于用于签订证书的私钥的强度、签名中应用的散列函数的强度, 以后大多数的证书都依赖于 SHA256 散列函数, 截止 2022 年。
1.5) 倡议为指定站点名称申请对应证书而非应用通配符 (泛域名) 证书，通配符证书能满足更宽泛的需要但如果筹备将密钥裸露给更多的人员，特地是跨团队或部门，则防止应用它们。
舒适提醒: 为了获得最佳成果，请提前取得证书，并在部署到生产业务环境之前至多一周，有助于防止在计算机上没有正确工夫的一些用户的证书正告，以及防止与 CA 须要额定工夫的 CA 失败的撤销查看，以向 OCSP 响应者流传无效的新证书
2. 中间件 SSL/TLS 服务器配置
形容: 应用正确的 TLS 服务器配置，您能够确保将凭据正确出现给站点的访问者，仅应用平安的加密原语，并加重所有已知的缺点。
最佳平安实际
2.1) 倡议应用残缺的证书链, 通过状况下仅服务器证书不够的, 咱们须要两个或多个证书来建设残缺的信赖链，当部署具备无效证书但没有所有必要的两头证书的服务器时会产生常见的配置问题，这是因为有效的证书链无效地使服务器证书有效并导致浏览器正告。
Let’sEncrypt 疾速颁发及主动续签泛域名证书实际指南(https://blog.weiyigeek.top/2022/3-11-589.html)
# 例如, 我采纳 Let'sEncrypt 进签发的证书，生成 nginx 响应的证书配置链。acme.sh --installcert -d weiyigeek.top \
--key-file /etc/nginx/ssl/weiyigeek.top.key \
--fullchain-file /etc/nginx/ssl/fullchain.cer \
--reloadcmd "service nginx force-reload"
# Nginx 中证书链与证书密钥配置
ssl_certificate /etc/nginx/ssl/fullchain.cer;
ssl_certificate_key /etc/nginx/ssl/weiyigeek.top.key;2.2) 倡议抉择应用平安的 SSL/TLS 协定, 防止应用 SSL v2，SSL v3, 以后举荐应用 TLS v1.0，TLS v1.1 和 TLS v1.2 以及 TLS 1.3 协定以打消所有过期和不平安的性能。
# Nginx
# intermediate configuration
ssl_protocols TLSv1.2 TLSv1.3;2.3) 倡议抉择应用平安的套件, 为了平安通信您必须首先确定您正在与所需方（而不是通过将窃听的其他人）间接沟通并平安地替换数据则须要至多 128 位加密的 AEAD 套件, 并且在配置中防止应用如下加密套件
NULL 明码套件不提供加密
匿名 Diffie-Hellman（ADH）套件不提供身份验证
弱明码（通常为 40 和 56 位）的套件应用能够轻松毁坏的加密
MD5 明码套件是不平安的, 容易被碰撞检测
RC4 明码套件是不平安的
DES/3DES 明码套件迟缓而虚弱
例如, Nginx 中的 ssl_ciphers 配置项里退出不反对如下 !NULL:!aNULL:!eNULL:!EXPORT:!PSK:!ADH:!DES:!3DES:!MD5:!RC4; 明码套件。# 应用以 RSA 和 ECDSA 键为根底的以下套件配置，作为终点（应用规范 TLS 套件名称）：ECDHE-ECDSA-AES128-GCM-SHA256
ECDHE-ECDSA-AES256-GCM-SHA384
ECDHE-ECDSA-AES128-SHA
ECDHE-ECDSA-AES256-SHA
ECDHE-ECDSA-AES128-SHA256
ECDHE-ECDSA-AES256-SHA384
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-RSA-AES256-GCM-SHA384
ECDHE-RSA-AES128-SHA
ECDHE-RSA-AES256-SHA
ECDHE-RSA-AES128-SHA256
ECDHE-RSA-AES256-SHA384
DHE-RSA-AES128-GCM-SHA256
DHE-RSA-AES256-GCM-SHA384
DHE-RSA-AES128-SHA
DHE-RSA-AES256-SHA
DHE-RSA-AES128-SHA256
DHE-RSA-AES256-SHA256
# 应用 openssl 命令查看指定套件对应的规范 TLS 套件名称以及反对的协定。openssl ciphers -V 'ECDHE-RSA-AES128-GCM-SHA256:ECDH:AES:EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:HIGH:!NULL:!aNULL:!eNULL:!EXPORT:!PSK:!ADH:!DES:!MD5:!RC4;' | column -t
0x13,0x02 - TLS_AES_256_GCM_SHA384 TLSv1.3 Kx=any Au=any Enc=AESGCM(256) Mac =AEAD
0x13,0x03 - TLS_CHACHA20_POLY1305_SHA256 TLSv1.3 Kx=any Au=any Enc=CHACHA20/POLY1305(256) Mac =AEAD
0x13,0x01 - TLS_AES_128_GCM_SHA256 TLSv1.3 Kx=any Au=any Enc=AESGCM(128) Mac =AEAD
0xC0,0x2F - ECDHE-RSA-AES128-GCM-SHA256 TLSv1.2 Kx=ECDH Au=RSA Enc=AESGCM(128) Mac =AEAD
# Nginx
# 举荐平安配置（就义了兼容性）生产环境中请依据业务须要配置。ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;2.4) 倡议抉择适合的协定在 SSLv3 及更高版本的协定版本中, 将通用性平安较强的套件放在首位，使服务器被动抉择最佳可用加密套件对于实现最佳安全性至关重要。
2.5) 倡议应用 FS 前向窃密, FS有时也称为齐全前向窃密 是一种协定性能，可实现不依赖服务器私钥的平安对话, 对于不提前向窃密的明码套件，如果有能够复原服务器的私钥的人就能够解密所有较早记录的加密对话（也就是能够先大量记录密文，再解密，比方您的证书到期后没有正确销毁，它的私钥就能用来解密非 PFS 的密文），所以咱们应该应用 DHE 套件作为 ECDHE 后备并且防止 RSA 密钥替换（除非必要）。
2.6) 倡议应用强的密钥替换算法，后面咱们说不倡议抉择 经典的短暂的 Diffie-Hellman 密钥替换（DHE）以及 RSA 密钥替换（不提供 FS 前向窃密），通常举荐其椭圆曲线变体 ECDHE 密钥替换，它更加平安和疾速。
舒适提醒: 咱们建议您始终首先在分段环境中测试 TLS 配置，仅在确定所有内容按预期工作时将更改利用到生产环境。请留神，以上是一个通用列表，并不是所有零碎（特地是较旧的）反对所有套件。
3.SSL/TLS 站点性能
形容: 本章节 HTTPS 平安是咱们探讨的重点, 于此同时咱们也须要关注配置了 TLS 站点的性能, 一个不合乎性能规范的平安服务无疑将被抛弃。通过正确配置 TLS 服务器拜访其站点时速度将会有很大晋升, 例如应用古代协定（例如 HTTP/2），甚至可能比明文通信更快。。
最佳平安实际
3.1) 倡议防止应用适度平安的密钥长度, 应用超过 2048 位的 RSA 密钥和弱小于 256 位的 ECDSA 密钥会节约 CPU 功耗，并可能会侵害用户体验。
3.2) 倡议应用 session 复原, 会话复原是一种性能优化技术，能够节俭低廉的明码操作的后果，并重复使用一段时间.
# Nginx
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m; # about 40000 sessions
ssl_session_tickets off;3.3) 倡议应用 WAN 优化和启用 HTTP/2, 通常 TLS 开销不是来自 CPU 的加密操作，而是来自网络提早, 只有在 TCP 握手实现后能力启动 TLS 握手，须要进一步替换数据包，并且来到服务器的间隔更远, 所以最小化提早的最佳办法是防止创立新的连贯，换句话说就是放弃现有的连贯长时间（keep-alives）。
# Nginx
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
}
......3.4) 倡议缓存网站中公共的动态资源, 通过 TLS 进行通信时浏览器可能会认为所有流量都是敏感的, 默认的浏览器在应用中会缓存某些动态资源然而一旦敞开浏览器所有缓存内容可能会失落, 所以为了取得性能晋升咱们须要长期缓存一些动态资源。
3.5) 倡议应用 OCSP Stapling, OCSP 装订是 OCSP 协定的扩大，能够间接从服务器提供撤销信息作为 TLS 握手的一部分。因而客户端不须要分割 OCSP 服务器进行带外验证，并且总体 TLS 连接时间显着缩小。
# OCSP stapling
ssl_stapling on;
ssl_stapling_verify on;
# verify chain of trust of OCSP response using Root CA and Intermediate certs
ssl_trusted_certificate /path/to/root_CA_cert_plus_intermediates;3.6) 倡议应用 ECDSA 密钥进行疾速加密, 在抉择加密套件时除了保障其安全性还须要其良好的性能体现, 尽可能应用反对硬件加速 AES 的 CPU。
舒适提醒: 用于建设平安连贯的明码握手是一种操作，其费用受私钥大小的高度影响, 应用太短的密钥是不平安的，但应用太长的密钥将导致“太多”的安全性和迟缓的操作。
舒适提醒: 残疾或非功能性会话复原机制可能会引起显着的性能损失。
舒适提醒: OCSP 装订是一种重要的优化技术，但并不是所有的网络服务器都提供了牢靠的 OCSP 装订实现。
<br/>
4.HTTP 与利用平安
形容: HTTP 协定和 Web 利用交付的周边平台在 SSL 诞生后持续疾速倒退, 所以在进行 TLS 服务器配置时它们也是最重要的一环。
最佳平安实际
4.1) 倡议加密无处不在, https 加密不能是可选项, 牢靠地爱护网站通信的惟一办法是无一例外地执行加密。
4.2) 倡议打消混合内容, 请将任何中央的所有内容都 HTTPS 化（全站 HTTPS）, 通过 TLS 传输然而蕴含不通过 TLS 传输的资源（例如，JavaScript 文件，images，CSS 文件）的页面, 可能会被一个沉闷的中间人（MITM）攻击者能够搭载一个独自的未受爱护的 JavaScript 资源，便有可能劫持用户的会话。
4.3) 倡议应用可信第三方 js 或者 css 并且第三方必须是正告 https 加密的从而防止 MITM 攻打, 于此同时应用子资源完整性（SRI）的新技术，可用于通过第三方资源来缩小潜在的危险。
4.4) 倡议配置平安 cookie，要正确平安网站须要 TLS，而且所有的 Cookie 在创立时都被明确标记为平安的，为了获得最佳成果，请思考为您的 Cookie 增加加密完整性验证或甚至加密。
4.5) 倡议进行平安 HTTP 压缩, TIME 和 BREACH 专一于应用 HTTP 压缩压缩的 HTTP 响应实体中的机密，HTTP 压缩是必须的不能敞开。
4.6) 倡议部署配置 CSP , 内容安全策略（CSP）是网站能够用来限度浏览器操作的平安机制。只管最后旨在解决跨站点脚本（XSS），CSP 一直倒退并反对对加强 TLS 安全性有用的性能, 部署 CSP 能够避免第三方混合内容，通常应用 Strict-Transport-Security 响应头。
4.7) 倡议不要缓存敏感内容
4.8) 思考其它威逼, TLS 旨在仅解决平安秘密和您与用户之间通信的完整性的一个方面，但还有许多其余威逼须要解决, 确保您的网站尽可能的缩小攻击面。
舒适提醒: 下述配置是不肯定是部署 CSP 的最佳办法, 为了提供不毁坏混合内容以外的任何内容的示例，我不得不禁用某些默认平安性能。随着工夫的推移，当您理解 CSP 的更多信息时，您应该更改您的策略以使其复原。
Content-Security-Policy: default-src https: 'unsafe-inline' 'unsafe-eval'; connect-src https: wss:<br/>
5. 定期 HTTPS 查看防止已知问题
形容: 近几年来曾经产生了几次重大的 SSL 和 TLS 攻打，然而如果您正在运行最新的 openssl 软件以及应用上述指南中的协定和加密套件倡议，那么它们通常不会关怀您。然而没有什么是齐全平安的，所以为了放弃对安全性的理解, 你应该排查和关注 https 相干破绽, 以便于在第一工夫爱护或更新您的 TLS 服务器配置。
所以通常状况下我倡议定期应用全面的 SSL/TLS 评估工具来验证您的配置，以确保您开始平安，对于公共网站建议您应用如下 SSL 实验室服务器进行站点 https 测试评估🍎。
最佳平安实际
5.1) 倡议定期应用如下 SSL、TLS 评估工具对 TLS 配置进行查看评估。
- 国外举荐:
ssllabs : 网站地址(https://www.ssllabs.com)，其检测内容十分的具体，包含证书、协定以及客户端模仿和兼容行。
cdn77 : 网站地址(https://www.cdn77.com/tls-test), 性能繁多只针对 TLS、SSL 协定版本进行评估。
- 国内举荐:
myssl : 网站地址(https://myssl.com), 这个是国内的检测站点与 ssllabs 类似，但个人感觉界面更清新，证书检测的性能更多，访问速度也是快很多杠杠的，它还能够为您的 https 站点进行多方面综合的评级，其中包含了证书、SSL 协定、加密套件、破绽、不平安的外链等等，便于网站管理人员排查验证服务器利用证书配置是否正确。
5.2) 倡议排查验证配置的 TLS 服务器是否应用下述相干破绽所关联的 openssl 版本、加密套件以及软弱的 SSL、TLS 协定。
DROWN 破绽
OpenSSL Padding Oracle 攻打
FREAK 破绽
Logjam 破绽
OpenSSL CCS 注入破绽
心血破绽(Heartbleed)
POODLE 破绽
CRIME 破绽
5.3) 理解或者应用 HPKP, 公共密钥固定旨在使网站运营商有权限度哪些 CA 能够为其网站颁发证书。Google 曾经部署了这个性能了一段时间（硬编码到他们的浏览器，Chrome），并且已被证实是十分有用的，以避免攻打并使公众理解它们, 然而须要肯定的老本，部署须要大量精力和专业知识。
5.4) 倡议配置应用 DNSSEC, 全称是域名系统安全扩大（Domain Name System Security Extensions），它是一种减少域名零碎完整性的技术，是由 IETF 提供的一系列 DNS 平安认证的机制（可参考 RFC2535）它提供一种能够验证应答信息真实性和完整性的机制，利用明码技术，使得域名解析服务器能够验证它所收到的应答 (包含域名不存在的应答) 是否来自于实在的服务器，或者是否在传输过程中被篡改过。通过 DNSSEC 的部署，能够加强对 DNS 域名服务器的身份认证，进而帮忙避免 DNS 缓存净化等攻打。（配置示例请参考下大节的实际配置）
简略的说，DNSSEC 依附数字签名保障 DNS 应答报文的真实性和完整性。
5.5) 倡议为电子邮件系统配置应用 DANE , DANE 一种将 X.509 证书绑定到 DNS 中的机制, 可用于存储自签名证书或者从 CA 签发的特定 X.509 证书, 其中, 证书作为 DNS 资源记录通过 DNSSEC 来实现其起源验证和完整性爱护, 依据证书用处的不同, 基于 DANE 的 DNS 资源记录也有所不同, DANE 协定的动机之一是解决现有的基于 X.509 的 PKI 的问题. 例如, DANE 在应答欺诈证书、解决证书撤销、创立可寰球公布和检索证书的管理机制并容许自签名证书受权等方面提供了很好的解决形式.
实际配置
1. 在腾讯云 DNSPod 控制台开启 DNSSEC 流程操作。(PS: 免费版 DNS 套餐提供)
第一步：登陆 DNSPod 控制台开启 DNSSEC 服务。
[控制台]- DNS 解析 – 我的域名 – 域名设置 – DNSSEC，点击开启，即可查看该域名的 DS 记录。
第二步：返回域名注册商控制台增加 DS 记录。
后面拿到的 DS 记录，还需在您域名注册商的控制台进行增加。(如果您的域名同样注册于腾讯云(DNSPod)，则该步骤主动实现)
PS: 该域名注册于腾讯云且属以后账号，零碎将主动为您增加 DS 记录(https://docs.dnspod.cn/dns/dn…)
第三步: 查看验证 DNSSEC 是否配置胜利, 此处依然以腾讯云为例（我的域名在腾讯购买的没方法）。
[控制台]- 域名注册 – 我的域名 -> 治理 -> 域名平安 -> DNSSEC 设置（点击治理）
舒适提醒: 目前只有多数注册商反对 DNSSEC，如果您域名所在注册商不反对，可先将域名转入腾讯云，转入后不便一站治理，更可一键开启(带转入链接)
<br/>
总结阐明
形容: HTTPS 平安也是网络安全的一个重要点, 想要部署 TLS 是非常容易的，但其难点在于如何应用平安的配置来保障站点的平安。尤其是 Protocol 版本和 Cipher 须要小心抉择和配置, 而后是一个门户或者其它用处的站点须要依据业务状况、针对用户群体、理论状况制订相应的 TLS 配置，最大限度的保障在平安的同时下对业务或者用户拜访造成的影响越小越好，其次是针对某些严重危害利用或数据安全的应该及时修补, 防止造成更大的影响。
本文章起源 我的 Blog 站点 或者 WeiyiGeek 公众账号 (
技术交换、友链替换请邮我哟)
欢送各位气味相投的敌人一起学习交换，如文章有误请留下您贵重的常识倡议，通过邮箱【master#weiyigeek.top】分割我哟！