HTTP vs.HTTPS：數(shù)字SSL證書會損害Web安全嗎？
問：為何網(wǎng)站瀏覽是以HTTP（超文本傳輸協(xié)議）來執(zhí)行而不是HTTPS（安全超文本傳輸協(xié)議）呢？例如，在Facebook.com上，網(wǎng)頁的認(rèn)證是通過HTTPS來進(jìn)行的，認(rèn)證之后，就回到HTTP。為何網(wǎng)站不在一開始就對所有的操作運(yùn)用HTTPS？
答：網(wǎng)站并不對所有網(wǎng)頁進(jìn)行加密的原因是，使用SSL（安全套接層）時要進(jìn)行以下權(quán)衡：改善的安全性能與高成本、低反應(yīng)速度的對比。通過SSL來發(fā)送網(wǎng)頁時，需要數(shù)字化的SLL證書，VeriSign擴(kuò)展驗(yàn)證SSL證書一年需花費(fèi)995美元，對小店來說，這可是筆不小的費(fèi)用。而這些小店的網(wǎng)站變動很小，目的只是向顧客提示自己的存在，所以對他們來說，花費(fèi)這么一筆錢去鏈接SSL顯得不合情理。對網(wǎng)站的安全控制應(yīng)該與可能遇到的風(fēng)險大小成比例，街頭小店的網(wǎng)站就屬于風(fēng)險極小的類型。
帶有數(shù)字證書的網(wǎng)站為何不通過SSL發(fā)送網(wǎng)頁還有其歷史原因，加密的過程會使網(wǎng)頁的發(fā)送速度變慢。使用SSL的過程中，在沒有接觸到服務(wù)器和客戶之間交換的大量加密數(shù)據(jù)之前，服務(wù)器就有一大堆數(shù)據(jù)要處理。在寬帶技術(shù)應(yīng)用之前，網(wǎng)頁下載的速度很緩慢，網(wǎng)站設(shè)計(jì)者出于對網(wǎng)頁瀏覽量的考慮，不愿意對每個網(wǎng)頁都進(jìn)行加密。（這也是大多數(shù)主頁不使用SSL技術(shù)的原因，網(wǎng)站的設(shè)計(jì)者希望瀏覽者盡快的看到自己的網(wǎng)頁，而不是讓他們等得失去耐心，跑到別的網(wǎng)站上去。）同時，許多瀏覽器不會緩存通過SSL發(fā)送的文件，原因是存儲SSL文件會生成大量的額外信息流量，降低網(wǎng)頁的下載速度，而這些額外的信息量要不間斷的從網(wǎng)站服務(wù)器獲得。
就拿Facebook來說，它肯定能承擔(dān)起數(shù)字證書的費(fèi)用，而且出于對網(wǎng)站中需要注冊的網(wǎng)頁的考慮，F(xiàn)acebook使用了數(shù)字證書。有些忙碌的網(wǎng)站服務(wù)器大范圍的使用了SSL技術(shù)，例如，銀行網(wǎng)站，SSL加速器（實(shí)際上是一塊協(xié)助處理板）被用來處理SSL公鑰計(jì)算。這樣的配置減輕了網(wǎng)站服務(wù)器通過SSL發(fā)送網(wǎng)頁的工作量，提高了發(fā)送速度?？梢源_定的是，像Facebook這樣信息交換快速的網(wǎng)站，配置SSL加速器是很明智的，然而，對每個網(wǎng)頁都進(jìn)行加密的做法是不切實(shí)際的，也是沒有必要的。
可以明確的是，SSL并不能使網(wǎng)站變得安全。SSL僅能對網(wǎng)站進(jìn)行認(rèn)證和對網(wǎng)站間所交換數(shù)據(jù)進(jìn)行加密。知曉將要聯(lián)系的對象并把聯(lián)系的內(nèi)容加密，這兩項(xiàng)在安全登錄過程中是很關(guān)鍵的。這也是Facebook在自己的登陸界面使用SSL技術(shù)的原因。如果登陸模式不受SSL保護(hù)，網(wǎng)站就不能被認(rèn)證；即便數(shù)據(jù)是通過SSL模式發(fā)送的，如果登陸模式不是SSL的話，在你將這些數(shù)據(jù)發(fā)送之前，仍不能對網(wǎng)站進(jìn)行認(rèn)證。因此，雖然你的證書是加密的，仍然沒法獲知究竟將這些數(shù)據(jù)發(fā)送到了什么地方。
SSL鏈接提供了一種檢驗(yàn)途徑，審核你目前所在的網(wǎng)頁是否來自你想要去的網(wǎng)站。當(dāng)你看到安全鎖標(biāo)志時，可以檢驗(yàn)一下SSL證書，并查看：組織的名字和證書是由誰發(fā)布的。我們使用SSL技術(shù)是出于以下考慮：SSL具有檢驗(yàn)網(wǎng)頁來源的能力，能夠識別目前所瀏覽的網(wǎng)頁是否發(fā)布于將要登入的網(wǎng)站，并使這些數(shù)據(jù)不被其他人獲知。然而，這些都是在SSL運(yùn)行的過程中存在的，在網(wǎng)頁已經(jīng)開始被瀏覽的情況下就不存在了。當(dāng)用戶已經(jīng)進(jìn)入所要瀏覽的網(wǎng)站時，SSL不再具有數(shù)據(jù)保護(hù)功能，而且在數(shù)據(jù)被網(wǎng)站和其所有者處理與存儲時，對其安全性如何，SSL不能進(jìn)行任何的干預(yù)。
【編輯推薦】
