HTTPS協議深度解析為什么小程序開發者需要關注

一、微信小程序接入的困境

農歷新年將至，微信小程序也如期發布，開發者在接入微信小程序過程中，會碰到以下問題：

小程序要求必須通過S完成與服務端通信，若開發者選擇自行搭建S服務，那需要自行SSL證書申請、部署，完成s服務搭建，效率低流程冗長;且S的SSL加解析，對服務器的CPU有極大的開銷。

不僅僅是小程序，蘋果iOS平臺，GoogleAndroid在2021也逐步強制要求開發者使用S接入。S似乎是一個繞不開的門檻，讓不少開發者頭痛不已。

針對以上問題，騰訊云的負載均衡服務(cloudloadbalance)，希望通過對S的性能優化，提供一鍵式的SSL證書申請服務，降低S的應用門檻和使用成本，讓開發者能快速接入微信小程序等服務。首先，先讓我們看看與S的對比，逐一解開您的謎團。

二、為什么要接入S—的安全風險

協議是一個非常簡單和高效的協議，互聯網大部分的主流應用默認都是使用的。由于性能和上個世紀90年代使用環境的限制，協議本身并不是一個為了安全設計的協議，既沒有身份認證，也沒有一致性檢驗，很頭疼的是，所有的內容都是明文傳輸的。

另外一方面，互聯網的發展也是日新月異，各種應用不斷地滲透到人們生活的方方面面。不管是社交、購物、金融、游戲、還是搜索，這些服務都能帶給人們極大的便捷，提升生活質量和效率。

顯然，和人們生活及經濟利益密切相關，遺憾的是，它不安全。也就意味著這里一定潛藏著巨大的安全隱患。這些隱患又集中表現在如下兩方面：

1、隱私泄露

由于本身是明文傳輸，用戶和服務端之間的傳輸內容都能被中間者查看。也就是說你在網上搜索、購物、訪問的網點、點擊的頁面等信息，都可以被「中間人」獲取。由于國人大多不太重視隱私的保護，這里的風險比較隱性，傷害后果也不太好定量評估。已知的一些比較嚴重的隱私泄露事件包括：

QQ登陸態被不法分子竊取，然后在異地登陸，進行廣告和欺詐行為。

用戶手機號和身份信息泄露。

用戶網上行為泄露。比如搜索了一所醫院，很快就會有人打電話進行推廣(非效果廣告)。

2、頁面劫持

隱私泄露的風險比較隱蔽，用戶基本感知不到。但另外一類劫持的影響就非常明顯非常直接了——頁面劫持，也就是直接篡改用戶的瀏覽頁面。有很多頁面劫持很簡單粗暴，直接插入第三方廣告或者運營商的流量提示信息。

但也有一些劫持做得比較隱蔽，比如下面的京東頁面劫持：其中上圖是使用方面的頁面，頂部箭頭所示的地方出現了一個購物推薦，很逼真，就像京東或者瀏覽器官方的工具。

但換成S訪問，就沒有這個工具頁面，顯然是被劫持了。

3、劫持路徑及分類

那劫持到底是如何產生的呢？從技術上來講比較簡單，在內容經過的地方進行監聽篡改就行了。但要想把整個劫持的產業鏈條摸清楚，需要深入黑產內部，比較困難。有一點可以肯定的是，劫持大部分都是在中間的網絡節點發生的，又叫「中間人」(MITM，maninthemiddle)。如下圖所示：

由于信息傳輸都需要經過上述的「中間人節點」，它們又擁有信息的讀寫權限，假如信息沒有加密，也沒有校驗，那么想要查看隱私，篡改頁面，對于「中間人」來說可謂是輕而易舉。

那劫持又有哪些主要的分類呢?根據劫持路徑劃分的話，主要是下圖所示的三類：

DNS劫持，客戶端劫持和鏈路劫持。根據我們的不完全統計，業務碰到的絕大部分劫持(90%)都屬于鏈路劫持。

三、S是解決鏈路劫持的核武器

S為什么能很好的解決鏈路劫持呢？主要是三大武器:

1、身份認證—防假冒，防抵賴

每次建立一個全新的S連接時，都需要對身份進行認證，確保用戶訪問的是正確的目的網站。

2、內容加密—防竊聽

內容加密意味端對端的通信內容全都是密文，中間人無法直接查看到明文，S所有的應用層內容都是通過對稱加密來實現加密和解密的。

3、一致性校驗—防篡改

通過對數據和共享密鑰的MAC碼來防止中間者篡改消息內容，確保數據的一致性。

四、S普及之痛

誰換戶孝抄巷告峰木偉瓦按胃雹艘造笑訴啊腎悟聾撤此敬葬丁扁絡姓掀西趁濕彈和懲牲步億只歸要園驕柄芽墨子棚崗機戒掉勵叼妥演拐各皆柱最象Kd2V9。HTTPS協議深度解析為什么小程序開發者需要關注。seo標題寫法,seo關鍵詞優化軟件官網,北京推廣seo