SSL/TLS：Web 如何保持安全

SSL/TLS：Web 如何保持安全

每当您访问浏览器地址栏显示小锁图标的网站时，您就在使用 SSL/TLS。这是一种在数据跨互联网传输时保护您的密码、信用卡号和私人消息安全的技术。您可以把它想象成数字信件的安全信封——只有预期的收件人才能打开。

访问安全网站时实际发生了什么

当您的浏览器通过 HTTPS 连接到网站时，后台会进行一次快速对话。网站会发送一张数字身份证——称为证书——其中包含其公钥。您的浏览器会根据受信任机构列表检查这张身份证（就像保安核对嘉宾名单）。如果一切核对无误，您的浏览器和网站会商定一个秘密代码，用于加密它们之间流动的所有数据。从那时起，一切都会被加密——即使有人拦截连接，看到的也只是乱码。

并非所有证书都同等可靠

这些数字身份证有不同的验证级别。最基本的级别仅确认网站拥有该域名——就像出示借书证。更高一级会验证网站背后的实际组织——更像驾驶执照。最高级别过去需要严格的背景调查，并会让浏览器地址栏变绿，但现代浏览器已放弃该视觉指示器。对于日常浏览，基本级别完全足够——重要的是连接已加密。

安全标准的演进

这项技术经历了几代演进。旧版本（SSL 和早期 TLS）存在弱点，被黑客利用。当前标准是 TLS 1.3，速度更快、安全性更高。它减少了浏览器与网站之间的往返交互，使安全连接建立更快。它还移除了不再被视为安全的过时加密方法。如果您运营网站，确保其支持最新版本是保护访问者最简单的方法之一。

谁签发这些数字身份证？

证书颁发机构（CA）是为网站担保的组织。您的浏览器预置了一份受信任机构列表——这些公司和非营利组织经过审核，有资格签发证书。近年来最大的变革之一是 Let's Encrypt，这是一个非营利组织，免费提供基础证书并自动化续期流程。这让 HTTPS 普及到所有人，而不只是有安全预算的大公司。还有一个名为证书透明度的公开日志系统，让任何人都能查看已签发的证书，使得恶意行为者更难为合法网站创建伪造证书。

提升安全性的简单步骤

如果您管理网站，可以采取几个简单直接的措施。使用现代加密标准——当前的最佳实践已确立并广泛支持。启用 HSTS，它告诉浏览器仅通过 HTTPS 连接您的网站，绝不使用普通 HTTP。设置证书自动续期，以免意外过期。并考虑 OCSP Stapling，这是一种技术优化，能加快访问者的证书验证过程。

从过去的错误中吸取教训

多年来，研究人员发现了诸如 Heartbleed、POODLE 和 BEAST 等著名漏洞。这些是旧版本协议中的严重缺陷。好消息是，现代 TLS 1.3 在设计时吸取了这些教训——它根本不支持那些使攻击成为可能的弱加密方法。关键启示：保持系统更新，禁用旧协议，您就能避免绝大多数已知问题。