你是怎么解決ssl證書解高可用性的？
分類：建站推廣
編輯：
瀏覽量：100
2021-07-26 17:27:28
??2017年1月份，Google將Chrome 56中所有的 http站點標記為不安全，并對所有使用http方式的登錄交互頁發出醒目的“不安全”提示。Apple自2015年WWDC大會開始，就在計劃逐步推進實施ATS(App與后臺服務器通訊強制使用https通訊)的實施，并在2017年WWDC大會上發布明確的時間節點，使https服務成為所有iOS及MAC上App的標配。下面就由新網小編和大家講一講如何解決ssl證書解L和TLS證書服務的高可用性。
??隨著一些國際主流CA機構免費型DV SSL證書產品的出現，SSL/TLS證書的應用越來越廣泛。SSL證書與域名一樣，很快會成為每一個互聯網站點不可或缺的基礎服務要素。SSL/TLS證書的應用逐漸普及，越來越多的站點正在加速啟用全站https服務。而在瀏覽器方面，Chrome及Firefox在所有新發布的瀏覽器版本中支持HSTS。已經有相當一部分站點啟用了HSTS服務，徹底將http服務從支持的選項列表中移除。
??一、如何保障SSL/TLS證書的安全及可靠？
??全面的推廣和應用SSL/TLS，會給站點安全性帶來質的提升，徹底杜絕中間人攻擊、網絡劫持等攻擊行為。但于此同時，考慮全站https之后的高可用保障時，SSL/TLS證書的安全性問題就逐步凸顯出來。
??如何確保https服務能夠7*24不間斷服務，不僅是企業內部IT運營團隊需要考慮的問題，同時也對第三方CA服務商提出了更高的要求。
??一旦第三方CA服務商出現運營或安全事故，將導致CA服務商的認證服務不可用。這將直接影響到使用企業IT服務的最終用戶。無論是PC客戶端瀏、移動終端，還是API接口程序，都將有可能因此受到沖擊，導致服務不可用。
??因此在進行站點高保障安全運營維護工作的同時，要求SSL/TLS服務供應商也必須確保提供7*24不間斷的高可用性服務，才能保障服務的可靠性。
??二、SSL/TLS證書服務需注意這三點：
??比起單純的采用一張SSL/TLS證書，要確保高可用性保障的服務站點不受一家第三方CA認證機構的安全或運營事故牽連，同時使用兩家不同的CA機構提供的高可用性SSL/TLS證書服務就顯得尤為必要了。
??無論是選擇一張SSL/TLS證書服務，還是采用雙證書方案同時使用兩張SSL/TLS證書，都需要首先考察CA服務機構在服務保障上的工作是否有做足功課。
??首先，CA機構在體量上，當然是越大越好。選擇全球排名靠前的幾家大型老牌CA機構的產品，能夠確保CA機構的產品有更深厚的技術積累和安全保障。不會因為黑客組織或個人的攻擊行為、系統安全系統漏洞、認證不規范等各種原因導致服務中斷或被其他機構列入信任黑名單。
??其次，CA服務商在此之前是否發生過大的安全或運營事故，是否遭受過嚴厲懲罰措施也是需要預先考察的。在事故發生后，CA服務商能否協調各方快速及時處理，并保障最小限度的影響客戶的這種能力，也會給客戶的證書應用保障加分。
??最后，CA服務商在國內是否有服務加速。
??證書簽發后，在證書的使用過程中，通常還需要客戶端請求CA系統獲取證書有效性驗證信息。證書的有效性驗證，主要采用兩種方式：OCSP及CRL。
??OCSP的驗證數據包體積較小，但對應答的及時性有要求。服務器延時越小，客戶端驗證速度越快。
??CRL的驗證數據包體積較大，但支持CRL支持緩存。可通過CA服務商的CDN加速服務網絡分發。因此要求CA服務商在國內使用CDN加速服務也是很有必要的。
??以下方案，主證書采用Digicert（原Symantec）品牌，備份證書采用Entrust或GlobalSign品牌。
??1.單證書在線
??單證書在線方案實施起來非常簡單，也很好理解其運行模式。主證書部署在服務器上，備份證書在主證書正常運行期間并不需要安裝部署。一旦發生CA服務商安全或運營事故的情況，可通過手動更新配置啟用備份證書并下線主證書，或通過自動化部署腳本自動切換到備份證書服務上。
??主證書可按照應用需求，購買單域名、增強驗證型帶綠色地址欄的EV型、多域名或通配符等類型的證書。主證書的注冊申請、維護和安裝仍然使用原有的模式，不改變部署安裝習慣。
??備份證書推薦采用多域名，或通配符證書。只需要確保備份證書能夠快速覆蓋主證書的服務范圍，通常不需要頻繁的變更或重新注冊申請。并且在需要應急啟用時，能夠快速變更替換主證書對應的服務。
??2.源站服務器使用主證書，CDN、高防、WAF等服務使用備份證書
??使用CDN、高防或WAF服務的用戶，可在源站服務器上安裝使用主證書，在CDN、高防、WAF等服務中使用備證書。
??通常這類服務還可能委托給第三方CDN服務商來部署實施，所以這種模式下使用雙證書方案時，選擇兩個不同的CA服務商提供的產品不僅能夠規避CA運營或安全封信問題，同時源站與CDN、高防、WAF服務上配置的證書使用的證書密鑰對也是不同的。任何一個證書出現的運營安全故障（如秘鑰丟失、秘鑰泄密）都可以快速定位責任主體。第三方CDN服務商的秘鑰泄露也不會影響到源站的數據傳輸安全。小伙伴們要想獲得更多ssl證書解碼的內容，請關注新網！
??隨著一些國際主流CA機構免費型DV SSL證書產品的出現，SSL/TLS證書的應用越來越廣泛。SSL證書與域名一樣，很快會成為每一個互聯網站點不可或缺的基礎服務要素。SSL/TLS證書的應用逐漸普及，越來越多的站點正在加速啟用全站https服務。而在瀏覽器方面，Chrome及Firefox在所有新發布的瀏覽器版本中支持HSTS。已經有相當一部分站點啟用了HSTS服務，徹底將http服務從支持的選項列表中移除。
??一、如何保障SSL/TLS證書的安全及可靠？
??全面的推廣和應用SSL/TLS，會給站點安全性帶來質的提升，徹底杜絕中間人攻擊、網絡劫持等攻擊行為。但于此同時，考慮全站https之后的高可用保障時，SSL/TLS證書的安全性問題就逐步凸顯出來。
??如何確保https服務能夠7*24不間斷服務，不僅是企業內部IT運營團隊需要考慮的問題，同時也對第三方CA服務商提出了更高的要求。
??一旦第三方CA服務商出現運營或安全事故，將導致CA服務商的認證服務不可用。這將直接影響到使用企業IT服務的最終用戶。無論是PC客戶端瀏、移動終端，還是API接口程序，都將有可能因此受到沖擊，導致服務不可用。
??因此在進行站點高保障安全運營維護工作的同時，要求SSL/TLS服務供應商也必須確保提供7*24不間斷的高可用性服務，才能保障服務的可靠性。
??二、SSL/TLS證書服務需注意這三點：
??比起單純的采用一張SSL/TLS證書，要確保高可用性保障的服務站點不受一家第三方CA認證機構的安全或運營事故牽連，同時使用兩家不同的CA機構提供的高可用性SSL/TLS證書服務就顯得尤為必要了。
??無論是選擇一張SSL/TLS證書服務，還是采用雙證書方案同時使用兩張SSL/TLS證書，都需要首先考察CA服務機構在服務保障上的工作是否有做足功課。
??首先，CA機構在體量上，當然是越大越好。選擇全球排名靠前的幾家大型老牌CA機構的產品，能夠確保CA機構的產品有更深厚的技術積累和安全保障。不會因為黑客組織或個人的攻擊行為、系統安全系統漏洞、認證不規范等各種原因導致服務中斷或被其他機構列入信任黑名單。
??其次，CA服務商在此之前是否發生過大的安全或運營事故，是否遭受過嚴厲懲罰措施也是需要預先考察的。在事故發生后，CA服務商能否協調各方快速及時處理，并保障最小限度的影響客戶的這種能力，也會給客戶的證書應用保障加分。
??最后，CA服務商在國內是否有服務加速。
??證書簽發后，在證書的使用過程中，通常還需要客戶端請求CA系統獲取證書有效性驗證信息。證書的有效性驗證，主要采用兩種方式：OCSP及CRL。
??OCSP的驗證數據包體積較小，但對應答的及時性有要求。服務器延時越小，客戶端驗證速度越快。
??CRL的驗證數據包體積較大，但支持CRL支持緩存。可通過CA服務商的CDN加速服務網絡分發。因此要求CA服務商在國內使用CDN加速服務也是很有必要的。
??以下方案，主證書采用Digicert（原Symantec）品牌，備份證書采用Entrust或GlobalSign品牌。
??1.單證書在線
??單證書在線方案實施起來非常簡單，也很好理解其運行模式。主證書部署在服務器上，備份證書在主證書正常運行期間并不需要安裝部署。一旦發生CA服務商安全或運營事故的情況，可通過手動更新配置啟用備份證書并下線主證書，或通過自動化部署腳本自動切換到備份證書服務上。
??主證書可按照應用需求，購買單域名、增強驗證型帶綠色地址欄的EV型、多域名或通配符等類型的證書。主證書的注冊申請、維護和安裝仍然使用原有的模式，不改變部署安裝習慣。
??備份證書推薦采用多域名，或通配符證書。只需要確保備份證書能夠快速覆蓋主證書的服務范圍，通常不需要頻繁的變更或重新注冊申請。并且在需要應急啟用時，能夠快速變更替換主證書對應的服務。
??2.源站服務器使用主證書，CDN、高防、WAF等服務使用備份證書
??使用CDN、高防或WAF服務的用戶，可在源站服務器上安裝使用主證書，在CDN、高防、WAF等服務中使用備證書。
??通常這類服務還可能委托給第三方CDN服務商來部署實施，所以這種模式下使用雙證書方案時，選擇兩個不同的CA服務商提供的產品不僅能夠規避CA運營或安全封信問題，同時源站與CDN、高防、WAF服務上配置的證書使用的證書密鑰對也是不同的。任何一個證書出現的運營安全故障（如秘鑰丟失、秘鑰泄密）都可以快速定位責任主體。第三方CDN服務商的秘鑰泄露也不會影響到源站的數據傳輸安全。小伙伴們要想獲得更多ssl證書解碼的內容，請關注新網！
聲明：免責聲明：本文內容由互聯網用戶自發貢獻自行上傳，本網站不擁有所有權，也不承認相關法律責任。如果您發現本社區中有涉嫌抄襲的內容，請發
送郵件至：operations@xinnet.com進行舉報，并提供相關證據，一經查實，本站將立刻刪除涉嫌侵權內容。本站原創內容未經允許不得轉載，或轉載時
需注明出處：新網idc知識百科
商品已成功加入購物車