HTTPS中的“S”并不代表SSL

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

当浏览器中出现挂锁图标时，人们自然会认为该网站正在使用SSL保护通信。显然，这也会让消费者认为该网站确实是安全的。CA Security Council的《2015年消费者信任度调查》显示，“只有3%的消费者愿意向没有挂锁图标的网站提供信用卡信息。”

其影响并不局限于消费者。在我们最新的《应用交付现状》调查中，已经实施或计划实施“全面部署SSL”的受访者对其组织抵御应用层攻击的能力更有信心（按1至5分计，信心评分达到3分或以上）。

事实上，大多数人都说不出SSL代表什么，更不用说解释其工作原理了。不过，他们知道SSL是一种机制，可在与应用或网站交互时保障交易（以及其中可能包含的机密信息）的安全。

这在一定程度上是我们（也就是整个市场）造成的。我们既用SSL来指代该协议（RFC 6101），也将其作为安全连接的统称。SSL之于安全，就像Band Aid之于创可贴、Google之于搜索引擎、Kleenex之于纸巾。

事实上，HTTPS并不一定需要SSL。“HTTPS”中的“S”代表“安全”，只要求采用某种方法来保护两个端点之间的连接，例如浏览器与网站之间的连接。如今，这越来越多地意味着使用基于TLS的HTTP，而不是SSL。

这是一个重要区别。尽管TLS和SSL同根同源，但TLS并非SSL，SSL也并非TLS。它们是不同的协议，各自面临不同的挑战和问题，并会产生不同的影响。两者采用相同的方式保护连接，即使用证书进行身份验证，并使用公钥/私钥对进行加密，但在实现上仍存在差异。

为什么需要关注这一点？因为最新的Web应用协议（HTTP/2和SPDY）并不支持SSL。至于它们是否更出色，还有待观察。这些协议支持TLS。严格来说，它们并不要求使用TLS，但同时支持这两种协议的浏览器实现仅通过TLS提供支持，而非SSL。

诚然，目前使用HTTP/2或SPDY的网站数量并不多，但这一数字正在增长。请注意，在排名前1,000的网站中，目前已有7.5%通过HTTP/2提供内容：

来自W3CTech（2015年7月）：

新的HTTP/2标准最终版本已于2015年5月发布，目前已有0.4%的网站采用该标准（高于月初的0.24%），在排名前1,000的网站中，采用率为7.5%。

现在需要考虑的是，我们讨论的不只是浏览器和服务器，还要考虑这对集成意味着什么。例如，使用某些排名前1,000的网站（如Google）提供的API时，这些网站可能会强制使用HTTP/2或SPDY以及TLS。Google所有提供加密功能的公共服务都使用TLS。如果要集成Google的某些功能，就需要关注其使用的是TLS而非SSL，因为这会影响底层工作机制。

还要注意，这也会对业务产生影响。根据PCI要求，2016年6月30日之后不得再使用SSL，届时必须明确使用TLS。为持续符合PCI要求，需要进行一些调整。合规至关重要，因为不合规会带来诸多后果。例如，商户账户费用可能增加，信用卡发卡机构可能处以罚款，甚至可能直接撤销企业处理付款和交易的资格。如果发生数据泄露，企业还可能因未履行安全尽职调查义务而面临更高的诉讼和罚款风险。

最后，这份措辞非常强硬的RFC（RFC 7568）明确说明了为何确实应迁移到TLS：

3．请勿使用SSL 3.0版

不得使用SSLv3。不得从任何版本的TLS协商使用SSLv3

不得允许。

任何版本的TLS都比SSLv3更安全，但最高

但最好使用可用的最高版本。

现在，指望立即从SSL切换到TLS并不现实。毕竟，尽管TLS基于SSL v3，但它并非与前代协议100%向后兼容。要禁用SSL并强制使用TLS，需要进行一些配置更改，而这些更改通常需要重启。在大型环境中，这一过程难免会造成业务中断，而且非常耗时。

但现在确实应该认真考虑还要支持SSL多久，以及何时全面改用TLS。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章