内容来源：2017年5月23日，亚洲诚信高级技术经理余宁在“世界云计算 · 中国站”进行《HTTPS最佳安全实践》演讲分享。IT大咖说（id：itdakashuo）作为独家视频合作方，经主办方和讲者审阅授权发布。

阅读字数：946  | 3分钟阅读

嘉宾演讲视频回顾及PPT：http://suo.im/54EpOs

摘要

随着亚洲诚信2016年推出加密无处不在以来，HTTPS的使用成本和技术门槛逐步降低，HTTPS正被越来越多的网站和企业使用。但是我们发现，进行正确的HTTPS配置和安全部署情况并不乐观。此次分享主要向大家介绍HTTPS常见安全威胁以及如何部署安全的HTTPS服务。

HTTPS行业动态

2014年到2015年，Google、Baidu等搜索引擎优先收录了HTTPS网站。

2015年，Baidu、Alibaba等国内大型互联网公司陆续实现了全站HTTPS加密。

2016年，Apple强制实施ATS标准；微信小程序要求后台通信必须用HTTPS；美国、英国政府机构网站实现全站HTTPS；国家网络安全法规定，网络运营者需要保护其用户信息的安全，并明确了相关法律责任。

2017年，Chrome、Firefox将标示HTTPS站点不安全。

HTTP/2的主流实现都要求使用HTTPS。TLS1.3即将发布，使HTTPS更快更安全。

HTTPS安全现状

HTTPS的安全现状仍是不容乐观。

如何让HTTPS更安全

证书选择

首先要考虑证书品牌，看它的兼容性、技术背景如何，口碑怎样，占有率是多少。

审核类型根据审核的强度分为了EV、OV、DV。商用站点最好是选择EV、OV。

从证书功能上来看，又分为单域名、多域名和通配符。而一般情况下，多域名和通配符容易增加风险，所以在能满足基本需求的情况下尽量选择单域名。

常见的证书算法有RSA、ECC等。ECC是目前更安全、性能更高的一种算法。

优化配置

完善证书链，提升兼容性。

启用安全协议版本，弃用不安全协议版本。

选用安全性能好的套件组合，弃用一些有安全漏洞或加密强度不高的套件组合。

利用Session ID和Session Ticker实现会话恢复。

漏洞修复

通过调整加密协议、加密套件或升级SSL服务端等措施得到修复。

安全加固

HSTS：浏览器实现HTTPS强制跳转，减少会话劫持风险。

HPKP：指定浏览器信任的公钥，防止CA误发证书而导致中间人攻击。

CAA：通过DNS指定自己信任的CA，使CA避免误发证书。

OCSPStapling：服务端SSL握手过程直接返回OCSP状态，避免用户向CA查询，保护用户隐私。

MySSL——HTTPS安全评估

HTTP安全概览

HTTP配置建议

1、配置符合PFS规范的加密套件。

2、在服务端TLS协议中启用TLS1.2。

3、保证当前域名与所使用的证书匹配。

4、保证证书在有效期内。

5、使用SHA-2签名算法的证书。

6、保证证书签发机构是可信的CA机构。

7、HSTS的max-age需要大于15768000秒。

MySLL——HTTPS最佳安全实践

我的分享到此结束，谢谢大家！

编者：IT大咖说，转载请标明版权和出处