我正在考虑创建一个全面采用https的新站点,而非只将登录等部分内容采用https。这是基于最近一份OWASP报告提供的指南。
我想了解这种方法的优缺点。是的,可以提高安全性,但这样做会失去什么呢?期待您的反馈。
全面采用https有两个缺点:
在现代系统中,加密和会话设置的性能影响今天真的不是问题。性能不再是不使用https的借口。
Http代理无法缓存https页面或资源,这可能被视为好事或坏事。如果您依赖缓存来提高性能,则这是不好的,它主要影响页面资产,如脚本、CSS和图像。但客户端缓存仍应有效。
这些缺点远远被全面采用https所提供的增强安全性、身份验证和客户信心所抵消。
金钱和速度。
您需要购买安全证书,如果您正在运行子域名,则需要投资于通配符安全证书(可能相当昂贵)。
与非SSL(http)相比,您的网站在SSL(https)上会变慢。
优点显而易见: - 连接是安全的(这意味着它具有机密性和完整性)
中立: - https不提供真实性(您仍然需要实现某些内容) - 所有更高级别也应该得到保护(如果连接是安全的,这并不意味着整个协议都是安全的)
缺点: - 性能可能会变慢 - 由于性能较慢,可用性可能会出现问题(我认为更容易对https网站进行DDoS攻击)。