相信很多朋友都遇到過網(wǎng)頁被強(qiáng)插廣告的情況，好端端一個(gè)干凈的頁面，動(dòng)不動(dòng)就被插了個(gè)屠龍寶刀點(diǎn)擊就送的小窗口，看著就心煩。

這種網(wǎng)頁劫持強(qiáng)插廣告的現(xiàn)象，在中國非常常見，往往是運(yùn)營商進(jìn)行HTTP劫持所造成的。對付這種劫持，一個(gè)很好的解決辦法就是HTTPS。

??

?? 網(wǎng)頁劫持很多人都有遇到過，HTTPS可以比較好地防范這問題

HTTPS能夠加密網(wǎng)頁傳輸內(nèi)容，不僅可以防止強(qiáng)插廣告，還可以防盜號。然而，效果如此好的技術(shù)，并沒有成為主流。無論國內(nèi)外，很多大網(wǎng)站都仍沒有使用HTTPS進(jìn)行加密。

根據(jù)統(tǒng)計(jì)，Alexa排名前一百萬的網(wǎng)站，只有21.7%默認(rèn)使用HTTPS，而中國的情況更加慘淡一些，注冊域名總數(shù)只有0.11%使用HTTPS。為什么會這樣子呢?今天就一起來談?wù)凥TTPS的話題吧。

HTTPS是什么

我們通常瀏覽網(wǎng)站用的是HTTP協(xié)議，這個(gè)協(xié)議也是互聯(lián)網(wǎng)最為廣泛使用的協(xié)議之一。這個(gè)協(xié)議大致是這樣子運(yùn)作的，當(dāng)瀏覽網(wǎng)站的時(shí)候，首先你會發(fā)送一個(gè)請求，如果發(fā)送的是網(wǎng)址的話，會經(jīng)由DNS服務(wù)器解析到相應(yīng)的IP地址。

服務(wù)器的80端口會監(jiān)聽到該請求，如果沒有問題的話，會向你返回一個(gè)相應(yīng)信息，接而連接成立，就可以開始傳輸數(shù)據(jù)了。這是一個(gè)很典型的TCP鏈接，用戶和服務(wù)器進(jìn)行有效連接需要經(jīng)過好幾個(gè)步驟，但無一例外，這些步驟中的數(shù)據(jù)傳輸都是明文，沒有加密。

??

?? 網(wǎng)頁瀏覽存在諸多環(huán)節(jié)，都是明文傳輸?shù)脑挘踩碗[私都很成問題

沒有加密，就意味著給了別有用心者很多機(jī)會竊聽——就如同你上課時(shí)給妹子傳紙條，傳遞過程中阿貓阿狗都可以拆開來圍觀一番，黑點(diǎn)兒的還會往紙條里加料，你開網(wǎng)頁被運(yùn)營商插廣告，大致也是這個(gè)理兒。

如何才能防止信息被篡改?加密是個(gè)很好的解決方案。HTTPS，就是加密版的HTTP。

??

?? 如果瀏覽器地址欄上有鎖之類的標(biāo)識，說明使用的是HTTPS安全連接

HTTPS使用了SSL/TLS進(jìn)行加密，這是一套使用公鑰/私鑰機(jī)制的加密系統(tǒng)。使用了HTTPS后，基于證書系統(tǒng)的公鑰一方面保證用戶連接的是正確的網(wǎng)站，另一方面結(jié)合私鑰，可以保證網(wǎng)絡(luò)數(shù)據(jù)不會被竊聽。

于是，HTTPS一來可以防止釣魚(網(wǎng)站帶有數(shù)字簽名，簽名不對無法連接)，二來加密了傳輸?shù)臄?shù)據(jù)，他人無法竊聽和加料，盜號和插廣告無從下手。和HTTP相比，HTTPS的確更能保證用戶的隱私和安全。

為何HTTPS仍不是主流?

盡管HTTPS的好處顯而易見，但目前為止仍有大量的網(wǎng)站尚未部署HTTPS，就算是部署，也只是在登錄頁面等少部分對安全有硬性要求的地方部署。為什么大家都沒有一股腦地轉(zhuǎn)用HTTPS?背后的緣由主要還是錢。

HTTPS會帶來一定的成本問題，大部分人開網(wǎng)站是為了賺錢，如果提升了用戶體驗(yàn)卻虧了，那還不如不開。

從HTTP轉(zhuǎn)換到HTTPS是需要一定成本進(jìn)行改造的，例如HTTP使用的是80端口而HTTPS使用的是443端口，同時(shí)HTTPS要比HTTP更加消耗資源，SSL握手需要更多的數(shù)據(jù)包，加密解密也需要額外的運(yùn)算。

要保證用戶體驗(yàn)，改用HTTPS后，設(shè)備也需要升級，例如購買SSL加速卡等等，對于一些大流量的站點(diǎn)例如視頻站，這個(gè)成本是不容忽略的。

對于小網(wǎng)站，證書也是一個(gè)成本。HTTPS的證書需要專門的機(jī)構(gòu)頒發(fā)，大機(jī)構(gòu)頒發(fā)的證書不是免費(fèi)的，每年都得交幾百幾千塊錢才能申請到證書。小機(jī)構(gòu)的證書盡管便宜甚至免費(fèi)，但一來適用度不如大機(jī)構(gòu)的證書，二來申請證書始終是麻煩事。

小網(wǎng)站的話，掛靠在擁有證書的服務(wù)器是個(gè)不錯(cuò)的辦法，但更多人是懶得弄了，小網(wǎng)站本來就比較隨意，反正連接沒加密又不是不能用，哪有這么多心思弄證書。

??

?? 如果證書不對，HTTPS連接會被瀏覽器認(rèn)為不安全

除此以外，HTTPS的兼容也有一定問題。例如網(wǎng)站部署了HTTPS后，頁面想要內(nèi)嵌其他站點(diǎn)的內(nèi)容，如果內(nèi)嵌的只是普通的HTTP內(nèi)容的話，可能會出現(xiàn)一些問題。你可以看到一些HTTPS網(wǎng)站中沒法內(nèi)嵌優(yōu)酷、土豆之類的視頻，看視頻需要點(diǎn)擊跳轉(zhuǎn)，也是由于這個(gè)緣故。

因此，HTTPS主要還是一些資本雄厚的大公司以及對安全有著硬性要求的站點(diǎn)在用。例如Google，反正有錢，旗下所有網(wǎng)站部署HTTPS也燒得起;例如淘寶，有錢是一方面，作為一個(gè)購物網(wǎng)站，花錢這點(diǎn)小事和在安全上捅了簍子相比，根本不值一提，所以淘寶所有的頁面都部署了HTTPS。

HTTPS是否萬無一失?

使用了HTTPS，是否就萬無一失了呢?也并非如此。HTTPS的證書就有可能存在安全問題，因?yàn)槟承╊C發(fā)證書的機(jī)構(gòu)不按套路出牌。

某些機(jī)構(gòu)會濫發(fā)證書，甚至?xí)圃旒僮C書，假證書可以用來進(jìn)行中間人攻擊。例如，當(dāng)你使用HTTPS連接到某個(gè)站點(diǎn)，瀏覽器告訴你站點(diǎn)連接是安全的HTTPS，但不好意思，實(shí)際上這個(gè)HTTPS只是基于假證書的連接，你在網(wǎng)站上做的一切都有可能被假證書的機(jī)構(gòu)竊聽。

這種事情是真實(shí)存在的，例如Gmail使用的是Google自己的證書，但MCS就曾經(jīng)偽造過Gmail的假證書。用戶連接到Gmail的時(shí)候，由于Google和MCS都被系統(tǒng)和瀏覽器信任，所以MCS的假證書也可以用于Gmail的HTTPS連接，這等于是繞開了Google對Gmail的HTTPS加密，Gmail就被MSC劫持了。

對付假證書的最好辦法，就是把頒發(fā)假證書的機(jī)構(gòu)刪掉。各大瀏覽器例如Chrome、Firefox等，會時(shí)不時(shí)宣布吊銷某些機(jī)構(gòu)證書的決定，大家可以多留意一下這方面的消息。

??

?? MCS偽造過證書來劫持Gmail的HTTPS

HTTPS除了防竊聽，還可以防止他人修改傳輸內(nèi)容，例如防止運(yùn)營商干擾TCP連接等。但是運(yùn)營商看不到傳輸?shù)臄?shù)據(jù)，還是有辦法整你的，例如給你丟幾個(gè)包之類的。

一些網(wǎng)站會因?yàn)閾Q用HTTPS，導(dǎo)致整個(gè)IP被封禁，所以一些站點(diǎn)換用HTTPS還是蠻需要勇氣的。

總結(jié)

但無論如何，HTTPS仍是大趨勢。不少業(yè)界巨鱷在大力推廣HTTPS等安全連接，例如蘋果規(guī)定商店所有App必須使用HTTPS連接網(wǎng)絡(luò)，下一代HTTP協(xié)議HTTP/2也將強(qiáng)制使用加密連接。

因此，各大站點(diǎn)換用HTTPS等加密連接，只是時(shí)間問題。HTTPS的確可以解決很多問題，希望互聯(lián)網(wǎng)能盡早全面換裝加密連接，更好地保護(hù)用戶的隱私和安全吧。