SSL - Cách thức và thời điểm sử dụng nó

Question

Tôi có một khách hàng cần SSL để bảo vệ khoản đóng góp trực tuyến, nhưng tôi có kinh nghiệm hạn chế về cách thức/thời điểm sử dụng SSL.

Tôi hiểu rằng trong việc mua chứng chỉ tôi chỉ định chứng chỉ đó cho toàn bộ miền (địa chỉ IP thực sự). Có cách nào để cô lập mã hóa cho chỉ một trang duy nhất của trang web hay tôi chỉ cần tiếp tục và bảo mật toàn bộ trang web mặc dù chỉ một trang cần mã hóa?

Không chắc chắn thực tiễn tốt nhất ở đây. Xin cho biết.

Answer 1

SSL phải chịu thêm một chút thời gian xử lý bổ sung. Đối với các trang băng thông thấp, việc xử lý bổ sung theo yêu cầu của SSL không thực sự đáng chú ý. Nhưng đối với các trang web có lưu lượng lớn như Facebook, Twitter và Flickr, tải do SSL gây ra là đủ nặng để họ phải sử dụng phần cứng mã hóa/giải mã SSL chuyên dụng.

Về cơ bản, có ý nghĩa là giảm thiểu số trang sử dụng SSL. Đó là lý do tại sao bạn thường thấy các trang web ngân hàng chỉ bảo vệ các trang tài khoản thực tế qua https. Trang chủ/trang đích thường là http cũ.

Mặt khác, trừ khi bạn thực sự là một trang web như Twitter hoặc Facebook hoặc Gmail, đáng lo ngại về điều này là một chút tối ưu hóa sớm. Đầu tiên làm điều đó đơn giản nếu bạn có thể. Hãy nhận biết vấn đề này và nhận thức được chiến lược nâng cấp khi trang web của bạn cuối cùng nhận được lưu lượng truy cập lớn.

ông chủ của tôi có một câu nói:

Đây là một hạnh phúc vấn đề có. Trước tiên, hãy giải quyết vấn đề về số buồn của không có đủ người dùng, sau đó bạn muốn vui lòng gặp sự cố yêu cầu bạn phải cấu trúc lại kiến ​​trúc của mình.

Answer 2

Bạn không mã hóa trang web có SSL. bạn mã hóa kết nối. Do đó nếu bạn đã bật SSL cho máy chủ web, chỉ cần thêm https: // vào url sẽ mã hóa kết nối và bất kỳ trang nào mà url trỏ tới sẽ được mã hóa trong khi khi chuyển tiếp.

nên https://www.website.com/index.html được mã hóa và http://www.website.com/index.html KHÔNG được mã hóa

Tôi thích cho điều đó không bao giờ xảy ra vì vậy tôi luôn đặt các trang mã hóa của tôi trong một tên miền phụ ví dụ. https://secure.website.com/index.html

SSL đi kèm với một vài

1/chứng chỉ SSL cơ bản Gotcha sẽ chỉ có giá trị cho một tên miền cụ thể vì vậy nếu giấy chứng nhận là www.website.com và ai đó sau một liên kết cho trang web .com cảnh báo sẽ được hiển thị. (xem lưu ý bên dưới)

2/SSL yêu cầu IP chuyên dụng (có vẻ như bạn có). điều đó có nghĩa là bạn có thể gặp vấn đề nếu bạn đang ở trên một nền tảng được chia sẻ. điều này là bởi vì trong HTTP máy chủ hoặc tên miền là một phần của tiêu đề nhưng các tiêu đề được mã hóa để máy chủ không thể biết nơi để định tuyến yêu cầu đến. (xem lưu ý bên dưới)

Có vẻ như bạn thực sự cần sử dụng các dịch vụ của người quen thuộc với thương mại điện tử và SSL để trợ giúp bạn. điều hướng các bãi mìn với kiến ​​thức hạn chế và phản ứng diễn đàn không phải là điều an toàn nhất để làm.đặc biệt là nếu các giao dịch tài chính đang diễn ra vì có các yêu cầu khác phải được xem xét như các yêu cầu pháp lý trong việc lưu trữ và sử dụng thông tin tài chính như số thẻ tín dụng.

DC

Phụ Lục:

Đối với đóng góp xem xét Paypal. Họ có một giải pháp đóng góp hoàn chỉnh và nhiều người hơn sẽ tin tưởng nó hơn là giải pháp cuộn của riêng bạn.

EDIT 2016: Thế giới di chuyển và một số lời khuyên ở trên không đúng như khi trả lời ban đầu.

SSL không còn yêu cầu địa chỉ IP chuyên dụng nữa. SNI (chỉ dẫn tên máy chủ) giải quyết điều đó và gần như là phổ biến hiện nay (IE8 trên winXP không hỗ trợ nó và một vài điện thoại).

Bạn sẽ thấy hầu hết các nhà cung cấp chứng chỉ hiện bao gồm tên miền chính là SAN (tên thay thế chủ đề) trong chứng chỉ. Mà là để nói rằng họ sẽ cung cấp một giấy chứng nhận cho cả hai www.website.moc và website.moc nếu bạn nhận được một giấy chứng nhận cho www.website.moc. Đừng cho rằng điều này, hãy đảm bảo rằng tổ chức chứng nhận của bạn chỉ định nó.

Answer 3

ngoài ra, bạn đã đề cập rằng chứng chỉ SSL bảo vệ địa chỉ IP. Điều này là không chính xác. Chứng chỉ SSL tương ứng với một miền. Nhiều lược đồ tồn tại trong đó một số miền chia sẻ một địa chỉ IP duy nhất. Nếu một trong các miền được chia sẻ này có chứng chỉ SSL thì chứng chỉ đó chỉ tốt cho tên miền đó, chứ không phải cho các tên miền khác.

Answer 4

Các câu trả lời khác không chính xác về vấn đề này: Chứng chỉ SSL liên kết với cả hai địa chỉ IP chuyên dụng được gán cho tên miền đơn lẻ, trừ khi bạn mua SSL thẻ hoang dã. Cả tên miền và IP phải khớp với chứng chỉ.

Answer 5

Bảo mật cookie là điều chính mà tôi muốn chỉ cho cách tiếp cận của bạn.

Người dùng đăng nhập trên trang đăng nhập bảo mật của bạn nhận cookie cho phiên của họ, phải không? Sau đó, cookie đó được truyền đi dưới dạng văn bản thuần túy cho người nào đó đang xem dây (Firesheep) để chặn và đánh cắp phiên.

Có thêm chi phí về thời gian đàm phán và tải CPU từ SSL, nhưng nó khá nhỏ. Nếu có bất kỳ điều gì nhạy cảm xảy ra trên trang web của bạn, chỉ cần sử dụng SSL ở mọi nơi.