??2017年1月份，Google將Chrome 56中所有的 http站點(diǎn)標(biāo)記為不安全，并對(duì)所有使用http方式的登錄交互頁(yè)發(fā)出醒目的“不安全”提示。Apple自2015年WWDC大會(huì)開(kāi)始，就在計(jì)劃逐步推進(jìn)實(shí)施ATS(App與后臺(tái)服務(wù)器通訊強(qiáng)制使用https通訊)的實(shí)施，并在2017年WWDC大會(huì)上發(fā)布明確的時(shí)間節(jié)點(diǎn)，使https服務(wù)成為所有iOS及MAC上App的標(biāo)配。下面就由新網(wǎng)小編和大家講一講如何解決ssl證書(shū)解L和TLS證書(shū)服務(wù)的高可用性。

??隨著一些國(guó)際主流CA機(jī)構(gòu)免費(fèi)型DV SSL證書(shū)產(chǎn)品的出現(xiàn)，SSL/TLS證書(shū)的應(yīng)用越來(lái)越廣泛。SSL證書(shū)與域名一樣，很快會(huì)成為每一個(gè)互聯(lián)網(wǎng)站點(diǎn)不可或缺的基礎(chǔ)服務(wù)要素。SSL/TLS證書(shū)的應(yīng)用逐漸普及，越來(lái)越多的站點(diǎn)正在加速啟用全站https服務(wù)。而在瀏覽器方面，Chrome及Firefox在所有新發(fā)布的瀏覽器版本中支持HSTS。已經(jīng)有相當(dāng)一部分站點(diǎn)啟用了HSTS服務(wù)，徹底將http服務(wù)從支持的選項(xiàng)列表中移除。

??一、如何保障SSL/TLS證書(shū)的安全及可靠？

??全面的推廣和應(yīng)用SSL/TLS，會(huì)給站點(diǎn)安全性帶來(lái)質(zhì)的提升，徹底杜絕中間人攻擊、網(wǎng)絡(luò)劫持等攻擊行為。但于此同時(shí)，考慮全站https之后的高可用保障時(shí)，SSL/TLS證書(shū)的安全性問(wèn)題就逐步凸顯出來(lái)。

??如何確保https服務(wù)能夠7*24不間斷服務(wù)，不僅是企業(yè)內(nèi)部IT運(yùn)營(yíng)團(tuán)隊(duì)需要考慮的問(wèn)題，同時(shí)也對(duì)第三方CA服務(wù)商提出了更高的要求。

??一旦第三方CA服務(wù)商出現(xiàn)運(yùn)營(yíng)或安全事故，將導(dǎo)致CA服務(wù)商的認(rèn)證服務(wù)不可用。這將直接影響到使用企業(yè)IT服務(wù)的最終用戶。無(wú)論是PC客戶端瀏、移動(dòng)終端，還是API接口程序，都將有可能因此受到?jīng)_擊，導(dǎo)致服務(wù)不可用。

??因此在進(jìn)行站點(diǎn)高保障安全運(yùn)營(yíng)維護(hù)工作的同時(shí)，要求SSL/TLS服務(wù)供應(yīng)商也必須確保提供7*24不間斷的高可用性服務(wù)，才能保障服務(wù)的可靠性。

??二、SSL/TLS證書(shū)服務(wù)需注意這三點(diǎn)：

??比起單純的采用一張SSL/TLS證書(shū)，要確保高可用性保障的服務(wù)站點(diǎn)不受一家第三方CA認(rèn)證機(jī)構(gòu)的安全或運(yùn)營(yíng)事故牽連，同時(shí)使用兩家不同的CA機(jī)構(gòu)提供的高可用性SSL/TLS證書(shū)服務(wù)就顯得尤為必要了。

??無(wú)論是選擇一張SSL/TLS證書(shū)服務(wù)，還是采用雙證書(shū)方案同時(shí)使用兩張SSL/TLS證書(shū)，都需要首先考察CA服務(wù)機(jī)構(gòu)在服務(wù)保障上的工作是否有做足功課。

??首先，CA機(jī)構(gòu)在體量上，當(dāng)然是越大越好。選擇全球排名靠前的幾家大型老牌CA機(jī)構(gòu)的產(chǎn)品，能夠確保CA機(jī)構(gòu)的產(chǎn)品有更深厚的技術(shù)積累和安全保障。不會(huì)因?yàn)楹诳徒M織或個(gè)人的攻擊行為、系統(tǒng)安全系統(tǒng)漏洞、認(rèn)證不規(guī)范等各種原因?qū)е路?wù)中斷或被其他機(jī)構(gòu)列入信任黑名單。

??其次，CA服務(wù)商在此之前是否發(fā)生過(guò)大的安全或運(yùn)營(yíng)事故，是否遭受過(guò)嚴(yán)厲懲罰措施也是需要預(yù)先考察的。在事故發(fā)生后，CA服務(wù)商能否協(xié)調(diào)各方快速及時(shí)處理，并保障最小限度的影響客戶的這種能力，也會(huì)給客戶的證書(shū)應(yīng)用保障加分。

??最后，CA服務(wù)商在國(guó)內(nèi)是否有服務(wù)加速。

??證書(shū)簽發(fā)后，在證書(shū)的使用過(guò)程中，通常還需要客戶端請(qǐng)求CA系統(tǒng)獲取證書(shū)有效性驗(yàn)證信息。證書(shū)的有效性驗(yàn)證，主要采用兩種方式：OCSP及CRL。

??OCSP的驗(yàn)證數(shù)據(jù)包體積較小，但對(duì)應(yīng)答的及時(shí)性有要求。服務(wù)器延時(shí)越小，客戶端驗(yàn)證速度越快。

??CRL的驗(yàn)證數(shù)據(jù)包體積較大，但支持CRL支持緩存。可通過(guò)CA服務(wù)商的CDN加速服務(wù)網(wǎng)絡(luò)分發(fā)。因此要求CA服務(wù)商在國(guó)內(nèi)使用CDN加速服務(wù)也是很有必要的。

??以下方案，主證書(shū)采用Digicert（原Symantec）品牌，備份證書(shū)采用Entrust或GlobalSign品牌。

??三、如何部署實(shí)施高可用性雙證書(shū)？

??1.單證書(shū)在線

??單證書(shū)在線方案實(shí)施起來(lái)非常簡(jiǎn)單，也很好理解其運(yùn)行模式。主證書(shū)部署在服務(wù)器上，備份證書(shū)在主證書(shū)正常運(yùn)行期間并不需要安裝部署。一旦發(fā)生CA服務(wù)商安全或運(yùn)營(yíng)事故的情況，可通過(guò)手動(dòng)更新配置啟用備份證書(shū)并下線主證書(shū)，或通過(guò)自動(dòng)化部署腳本自動(dòng)切換到備份證書(shū)服務(wù)上。

??主證書(shū)可按照應(yīng)用需求，購(gòu)買單域名、增強(qiáng)驗(yàn)證型帶綠色地址欄的EV型、多域名或通配符等類型的證書(shū)。主證書(shū)的注冊(cè)申請(qǐng)、維護(hù)和安裝仍然使用原有的模式，不改變部署安裝習(xí)慣。

??備份證書(shū)推薦采用多域名，或通配符證書(shū)。只需要確保備份證書(shū)能夠快速覆蓋主證書(shū)的服務(wù)范圍，通常不需要頻繁的變更或重新注冊(cè)申請(qǐng)。并且在需要應(yīng)急啟用時(shí)，能夠快速變更替換主證書(shū)對(duì)應(yīng)的服務(wù)。

??2.源站服務(wù)器使用主證書(shū)，CDN、高防、WAF等服務(wù)使用備份證書(shū)

??使用CDN、高防或WAF服務(wù)的用戶，可在源站服務(wù)器上安裝使用主證書(shū)，在CDN、高防、WAF等服務(wù)中使用備證書(shū)。

??通常這類服務(wù)還可能委托給第三方CDN服務(wù)商來(lái)部署實(shí)施，所以這種模式下使用雙證書(shū)方案時(shí)，選擇兩個(gè)不同的CA服務(wù)商提供的產(chǎn)品不僅能夠規(guī)避CA運(yùn)營(yíng)或安全封信問(wèn)題，同時(shí)源站與CDN、高防、WAF服務(wù)上配置的證書(shū)使用的證書(shū)密鑰對(duì)也是不同的。任何一個(gè)證書(shū)出現(xiàn)的運(yùn)營(yíng)安全故障（如秘鑰丟失、秘鑰泄密）都可以快速定位責(zé)任主體。第三方CDN服務(wù)商的秘鑰泄露也不會(huì)影響到源站的數(shù)據(jù)傳輸安全。小伙伴們要想獲得更多ssl證書(shū)解碼的內(nèi)容，請(qǐng)關(guān)注新網(wǎng)！