??2017年1月份，Google將Chrome 56中所有的 http站點(diǎn)標(biāo)記為不安全，并對所有使用http方式的登錄交互頁發(fā)出醒目的“不安全”提示。Apple自2015年WWDC大會開始，就在計劃逐步推進(jìn)實(shí)施ATS(App與后臺服務(wù)器通訊強(qiáng)制使用https通訊)的實(shí)施，并在2017年WWDC大會上發(fā)布明確的時間節(jié)點(diǎn)，使https服務(wù)成為所有iOS及MAC上App的標(biāo)配。下面就由新網(wǎng)小編和大家講一講如何解決ssl證書解L和TLS證書服務(wù)的高可用性。

??隨著一些國際主流CA機(jī)構(gòu)免費(fèi)型DV SSL證書產(chǎn)品的出現(xiàn)，SSL/TLS證書的應(yīng)用越來越廣泛。SSL證書與域名一樣，很快會成為每一個互聯(lián)網(wǎng)站點(diǎn)不可或缺的基礎(chǔ)服務(wù)要素。SSL/TLS證書的應(yīng)用逐漸普及，越來越多的站點(diǎn)正在加速啟用全站https服務(wù)。而在瀏覽器方面，Chrome及Firefox在所有新發(fā)布的瀏覽器版本中支持HSTS。已經(jīng)有相當(dāng)一部分站點(diǎn)啟用了HSTS服務(wù)，徹底將http服務(wù)從支持的選項(xiàng)列表中移除。

??一、如何保障SSL/TLS證書的安全及可靠？

??全面的推廣和應(yīng)用SSL/TLS，會給站點(diǎn)安全性帶來質(zhì)的提升，徹底杜絕中間人攻擊、網(wǎng)絡(luò)劫持等攻擊行為。但于此同時，考慮全站https之后的高可用保障時，SSL/TLS證書的安全性問題就逐步凸顯出來。

??如何確保https服務(wù)能夠7*24不間斷服務(wù)，不僅是企業(yè)內(nèi)部IT運(yùn)營團(tuán)隊需要考慮的問題，同時也對第三方CA服務(wù)商提出了更高的要求。

??一旦第三方CA服務(wù)商出現(xiàn)運(yùn)營或安全事故，將導(dǎo)致CA服務(wù)商的認(rèn)證服務(wù)不可用。這將直接影響到使用企業(yè)IT服務(wù)的最終用戶。無論是PC客戶端瀏、移動終端，還是API接口程序，都將有可能因此受到?jīng)_擊，導(dǎo)致服務(wù)不可用。

??因此在進(jìn)行站點(diǎn)高保障安全運(yùn)營維護(hù)工作的同時，要求SSL/TLS服務(wù)供應(yīng)商也必須確保提供7*24不間斷的高可用性服務(wù)，才能保障服務(wù)的可靠性。

??二、SSL/TLS證書服務(wù)需注意這三點(diǎn)：

??比起單純的采用一張SSL/TLS證書，要確保高可用性保障的服務(wù)站點(diǎn)不受一家第三方CA認(rèn)證機(jī)構(gòu)的安全或運(yùn)營事故牽連，同時使用兩家不同的CA機(jī)構(gòu)提供的高可用性SSL/TLS證書服務(wù)就顯得尤為必要了。

??無論是選擇一張SSL/TLS證書服務(wù)，還是采用雙證書方案同時使用兩張SSL/TLS證書，都需要首先考察CA服務(wù)機(jī)構(gòu)在服務(wù)保障上的工作是否有做足功課。

??首先，CA機(jī)構(gòu)在體量上，當(dāng)然是越大越好。選擇全球排名靠前的幾家大型老牌CA機(jī)構(gòu)的產(chǎn)品，能夠確保CA機(jī)構(gòu)的產(chǎn)品有更深厚的技術(shù)積累和安全保障。不會因?yàn)楹诳徒M織或個人的攻擊行為、系統(tǒng)安全系統(tǒng)漏洞、認(rèn)證不規(guī)范等各種原因?qū)е路?wù)中斷或被其他機(jī)構(gòu)列入信任黑名單。

??其次，CA服務(wù)商在此之前是否發(fā)生過大的安全或運(yùn)營事故，是否遭受過嚴(yán)厲懲罰措施也是需要預(yù)先考察的。在事故發(fā)生后，CA服務(wù)商能否協(xié)調(diào)各方快速及時處理，并保障最小限度的影響客戶的這種能力，也會給客戶的證書應(yīng)用保障加分。

??最后，CA服務(wù)商在國內(nèi)是否有服務(wù)加速。

??證書簽發(fā)后，在證書的使用過程中，通常還需要客戶端請求CA系統(tǒng)獲取證書有效性驗(yàn)證信息。證書的有效性驗(yàn)證，主要采用兩種方式：OCSP及CRL。

??OCSP的驗(yàn)證數(shù)據(jù)包體積較小，但對應(yīng)答的及時性有要求。服務(wù)器延時越小，客戶端驗(yàn)證速度越快。

??CRL的驗(yàn)證數(shù)據(jù)包體積較大，但支持CRL支持緩存。可通過CA服務(wù)商的CDN加速服務(wù)網(wǎng)絡(luò)分發(fā)。因此要求CA服務(wù)商在國內(nèi)使用CDN加速服務(wù)也是很有必要的。

??以下方案，主證書采用Digicert（原Symantec）品牌，備份證書采用Entrust或GlobalSign品牌。

??三、如何部署實(shí)施高可用性雙證書？

??1.單證書在線

??單證書在線方案實(shí)施起來非常簡單，也很好理解其運(yùn)行模式。主證書部署在服務(wù)器上，備份證書在主證書正常運(yùn)行期間并不需要安裝部署。一旦發(fā)生CA服務(wù)商安全或運(yùn)營事故的情況，可通過手動更新配置啟用備份證書并下線主證書，或通過自動化部署腳本自動切換到備份證書服務(wù)上。

??主證書可按照應(yīng)用需求，購買單域名、增強(qiáng)驗(yàn)證型帶綠色地址欄的EV型、多域名或通配符等類型的證書。主證書的注冊申請、維護(hù)和安裝仍然使用原有的模式，不改變部署安裝習(xí)慣。

??備份證書推薦采用多域名，或通配符證書。只需要確保備份證書能夠快速覆蓋主證書的服務(wù)范圍，通常不需要頻繁的變更或重新注冊申請。并且在需要應(yīng)急啟用時，能夠快速變更替換主證書對應(yīng)的服務(wù)。

??2.源站服務(wù)器使用主證書，CDN、高防、WAF等服務(wù)使用備份證書

??使用CDN、高防或WAF服務(wù)的用戶，可在源站服務(wù)器上安裝使用主證書，在CDN、高防、WAF等服務(wù)中使用備證書。

??通常這類服務(wù)還可能委托給第三方CDN服務(wù)商來部署實(shí)施，所以這種模式下使用雙證書方案時，選擇兩個不同的CA服務(wù)商提供的產(chǎn)品不僅能夠規(guī)避CA運(yùn)營或安全封信問題，同時源站與CDN、高防、WAF服務(wù)上配置的證書使用的證書密鑰對也是不同的。任何一個證書出現(xiàn)的運(yùn)營安全故障（如秘鑰丟失、秘鑰泄密）都可以快速定位責(zé)任主體。第三方CDN服務(wù)商的秘鑰泄露也不會影響到源站的數(shù)據(jù)傳輸安全。小伙伴們要想獲得更多ssl證書解碼的內(nèi)容，請關(guān)注新網(wǎng)！