内容来源：2017年5月23日，亚洲诚信高级技术经理余宁在“世界云计算 · 中国站”进行《HTTPS最佳安全实践》演讲分享。IT大咖说作为独家视频合作方，经主办方和讲者审阅授权发布。
阅读字数：946 | 3分钟阅读
摘要
随着亚洲诚信2016年推出加密无处不在以来，HTTPS的使用成本和技术门槛逐步降低，HTTPS正被越来越多的网站和企业使用。但是我们发现，进行正确的HTTPS配置和安全部署情况并不乐观。此次分享主要向大家介绍HTTPS常见安全威胁以及如何部署安全的HTTPS服务。
HTTPS行业动态
2014年到2015年，Google、Baidu等搜索引擎优先收录了HTTPS网站。
2015年，Baidu、Alibaba等国内大型互联网公司陆续实现了全站HTTPS加密。
2016年，Apple强制实施ATS标准；微信小程序要求后台通信必须用HTTPS；美国、英国政府机构网站实现全站HTTPS；国家网络安全法规定，网络运营者需要保护其用户信息的安全，并明确了相关法律责任。
2017年，Chrome、Firefox将标示HTTPS站点不安全。
HTTP/2的主流实现都要求使用HTTPS。TLS1.3即将发布，使HTTPS更快更安全。
HTTPS安全现状
HTTPS的安全现状仍是不容乐观。
如何让HTTPS更安全
证书选择
首先要考虑证书品牌，看它的兼容性、技术背景如何，口碑怎样，占有率是多少。
审核类型根据审核的强度分为了EV、OV、DV。商用站点最好是选择EV、OV。
从证书功能上来看，又分为单域名、多域名和通配符。而一般情况下，多域名和通配符容易增加风险，所以在能满足基本需求的情况下尽量选择单域名。
常见的证书算法有RSA、ECC等。ECC是目前更安全、性能更高的一种算法。
优化配置
完善证书链，提升兼容性。
启用安全协议版本，弃用不安全协议版本。
选用安全性能好的套件组合，弃用一些有安全漏洞或加密强度不高的套件组合。
利用Session ID和Session Ticker实现会话恢复。
漏洞修复
通过调整加密协议、加密套件或升级SSL服务端等措施得到修复。
安全加固
HSTS：浏览器实现HTTPS强制跳转，减少会话劫持风险。
HPKP：指定浏览器信任的公钥，防止CA误发证书而导致中间人攻击。
CAA：通过DNS指定自己信任的CA，使CA避免误发证书。
OCSPStapling：服务端SSL握手过程直接返回OCSP状态，避免用户向CA查询，保护用户隐私。
MySSL——HTTPS安全评估
HTTP安全概览
HTTP配置建议
1、配置符合PFS规范的加密套件。
2、在服务端TLS协议中启用TLS1.2。
3、保证当前域名与所使用的证书匹配。
4、保证证书在有效期内。
5、使用SHA-2签名算法的证书。
6、保证证书签发机构是可信的CA机构。
7、HSTS的max-age需要大于15768000秒。
MySSL——HTTPS最佳安全实践
我的分享到此结束，谢谢大家！
相关推荐
推荐文章
近期活动
点击【www.itdks.com】进入干货密道