使用HTTPS防止流量劫持

简介:

何为流量劫持

前不久小米等六家互联网公司发表联合声明,呼吁运营商打击流量劫持。流量劫持最直观的表现,就是网页上被插入了一些乱七八糟的广告/弹窗之类的内容。比如下面这种:

inter

页面的右下角被插入了广告。

流量劫持总体来说属于中间人攻击(Man-in-the-Middle Attack,MITM)的一种,本质上攻击者在通信两端之间对通信内容进行嗅探和篡改,以达到插入数据和获取关键信息的目的。目前互联网上发生的流量劫持基本是两种手段来实现的:

  • 域名劫持:通过劫持掉域名的DNS解析结果,将HTTP请求劫持到特定IP上,使得客户端和攻击者的服务器建立TCP连接,而非和目标服务器直接连接,这样攻击者就可以对内容进行窃取或篡改。在极端的情况下甚至攻击者可能伪造目标网站页面进行钓鱼攻击。
  • 直接流量修改:在数据通路上对页面进行固定的内容插入,比如广告弹窗等。在这种情况下,虽然客户端和服务器是直接建立的连接,但是数据内容依然可能遭到野蛮破坏。

能够实施流量劫持的根本原因,是HTTP协议没有办法对通信对方的身份进行校验以及对数据完整性进行校验。如果能解决这个问题,则流量劫持将无法轻易发生。

关于流量劫持的更多危害案例,可以参考:如何看待小米等联合声明:呼吁运营商严格打击流量劫持?

HTTPS如何防止劫持

p2367211

HTTPS,是HTTP over SSL的意思,提到HTTPS就不得不先简单描述一下SSL/TLS协议。SSL协议是Netscape在1995年首次提出的用于解决传输层安全问题的网络协议,其核心是基于公钥密码学理论实现了对服务器身份认证、数据的私密性保护以及对数据完整性的校验等功能。1999年IETF将SSL 3.0标准化,是为TLS 1.0版本,目前TLS协议的最新版本是1.2版本,TLS 1.3标准正在制定中。为了方便,下文将SSL/TLS协议都简称为SSL协议。

SSL协议在HTTP请求开始之前增加了握手的阶段,其粗略流程如下图所示:

https_1

  • 在SSL握手阶段,客户端浏览器会认证服务器的身份,这是通过“证书”来实现的,证书由证书权威(CA)为某个域名签发,可以理解为网站的身份证件,客户端需要对这个证件进行认证,需要确定该证书是否属于目标网站并确认证书本身是否有效。最后在握手阶段,通信的双方还会协商出一个用于加密和解密的会话密钥。
  • SSL握手阶段结束之后,服务器和客户端使用协商出的会话密钥对交互的数据进行加密/解密操作,对于HTTP协议来说,就是将HTTP请求和应答经过加密之后再发送到网络上。

由此可见,因为SSL协议提供了对服务器的身份认证,所以DNS劫持导致连接错误服务器的情况将会被发现进而终止连接,最终导致DNS挟持攻击无法实现。此外SSL协议还提供数据的加密和完整性校验,这就解决了关键信息被嗅探以及数据内容被修改的可能。

如何部署HTTPS

要将网站进行HTTPS支持以达到防劫持的效果,首先需要的是为网站的域名搞一张证书。这个证书必须是由知名CA所签发的,这是因为知名CA的根证书广泛的存在于大多数浏览器和操作系统中,因此可以被客户端用来校验网站证书是否合法。

传统CA的证书签发流程大体相同,基本上都是根据证书认证的级别,进行一系列不同流程的认证,然后认证通过后申请者缴纳相应的费用就可以或得到证书。这个流程相对比较繁琐,尤其是对于个人和小型网站管理者来说搞起来也确实麻烦。这里推荐一种新型的方法——使用Let's Encrypt的自动化服务获取免费的证书。

Let's Encrypt项目是由ISRG提供的免费CA服务,其主要目的是减少证书获取的难度,将证书的签发/续签/作废等操作进行自动化处理。Let's Encrypt的使用方法非常简单,按照文档中步骤操作即可。如需进一步了解如何使用Let's Encrypt自动获取免费证书,可以参考:用Let’s Encrypt获取免费证书

在获得到证书(以及对应的私钥)之后,主要有如下几种方法来使用:

  1. 直接在Web服务器上部署证书和私钥,相关apache或nginx都有大量的文档说明,在此就不赘述了
  2. 在服务器集群的接入层/反向代理处部署证书和私钥,例如阿里云的CDN, SLB和高防IP等产品均提供HTTPS支持,可以直接上传证书和私钥就可以实现网站的HTTPS改造。

阿里云的HTTPS支持

阿里巴巴在2015年的双11期间,成功的使用了全站范围(包括淘宝、天猫等核心电商域名)的HTTPS为广大买家提供安全的购物体验,这种体量的HTTPS服务在业界也极为少见。我们在进行电商业务的HTTPS改造时,在密码学、SSL/TLS协议以及PKI体系等领域进行了一系列的优化和创新,并在此过程中积累了大量宝贵的经验。

阿里云做为底层基础设施的提供者,在阿里全站HTTPS化的过程中提供了大量的技术支撑,阿里云的CDN和SLB等产品在HTTPS的加速以及卸载等环节发挥了重要的作用。我们希望能将在淘宝/天猫业务上积累的HTTPS领域的经验和成果,借助阿里云的平台,让更多人来使用,籍此希望跟多的互联网流量能够HTTPS化,让流量劫持再无可能。

交付内容如同江湖走镖,流量劫持形同拦路劫镖,最后借用我们同事的强图来结束本文,那就是:

0110_1

目录
相关文章
|
5月前
|
安全 Android开发
夜神模拟器 安卓7.0 burp抓包 https流量
夜神模拟器 安卓7.0 burp抓包 https流量
158 0
http代理ip按流量划算还是个数划算?
http代理ip按流量划算还是个数划算?
|
9月前
|
前端开发 JavaScript 物联网
漏刻有时API接口实战开发系列(1):萤石云HTTP接口API开发获取直播接口和流量数据查询(ajax)
漏刻有时API接口实战开发系列(1):萤石云HTTP接口API开发获取直播接口和流量数据查询(ajax)
182 0
|
存储 缓存 负载均衡
RH358优化Web服务器流量--使用HAProxy终止HTTPS流量和并进行负载均衡
RH358优化Web服务器流量--使用HAProxy终止HTTPS流量和并进行负载均衡
421 0
RH358优化Web服务器流量--使用HAProxy终止HTTPS流量和并进行负载均衡
|
算法 Java Maven
【高并发】亿级流量场景下如何为HTTP接口限流?看完我懂了!!
在互联网应用中,高并发系统会面临一个重大的挑战,那就是大量流高并发访问,比如:天猫的双十一、京东618、秒杀、抢购促销等,这些都是典型的大流量高并发场景。关于秒杀,小伙伴们可以参见我的另一篇文章《【高并发】高并发秒杀系统架构解密,不是所有的秒杀都是秒杀!》 关于【冰河技术】微信公众号,解锁更多【高并发】专题文章。 注意:由于原文篇幅比较长,所以被拆分为:理论、算法、实战(HTTP接口实战+分布式限流实战)三大部分。 理论篇:《【高并发】如何实现亿级流量下的分布式限流?这些理论你必须掌握!!》 算法篇:《【高并发】如何实现亿级流量下的分布式限流?这些算法你必须掌握!!》 项目源码已提交
218 0
【高并发】亿级流量场景下如何为HTTP接口限流?看完我懂了!!
|
Web App开发 存储 缓存
【趣话编程】谁动了你的HTTPS流量?
已经用上了https,为什么还是被劫持?
1280 0
【趣话编程】谁动了你的HTTPS流量?
|
网络协议 网络安全 数据安全/隐私保护
HTTPS如何保证防劫持?
    SSL证书,网络的发展已经成为人们生活中非常重要的组成。因此,保护用户隐私,维护数据传输安全成为SSL证书最重要的功能。但是流量劫持、HTTPS劫持等情况还是比较常见的,如何防止劫持呢?SSL证书服务,SSL证书安装,SSL证书,HTTPS劫持.  一、HTTPS劫持  目前互联网上发生的流量劫持基本是两种手段来实现的:  域名劫持:通过劫持掉域名的DNS解析结果,将HTTP请求劫持到特定IP上,使得客户端和攻击者的服务器建立TCP连接,而非和目标服务器直接连接,这样攻击者就可以对内容进行窃取或篡改。
2433 0
阿里云Web应用防火墙接入案例分享之http流量劫持
一、概述   在日常使用阿里云Web应用防火墙的用户中,会出现一些对WAF上域名发起http请求时被流量劫持的情况,通过对这些问题案例的梳理,总结了相关方案供大家参考。 二、案例 2.1 案例一 2.1.1 问题背景   某教育门户网站使用海外WAF进行日常web攻击及安全扫描的防护,反馈海外用户无法访问相关二级子域名,国内用户访问无异常。
|
API 网络安全 数据安全/隐私保护