记录－交流－Web开发知识分享
2020年10月，Google 即将发布正式更新的Chrome浏览器86新版本。此次更新除了扩展该工具的实用性之外，最重要的一点的是将全面阻止所有非HTTPS混合内容的下载。
早在今年2月，Google 在Chromium博客发文称，为了增强下载防护体验，Chrome浏览器将开始阻止非“安全超文本传输协议” 的混合内容下载（即安全页面上非HTTPS下载），进一步确保安全性，直至最终完全取消对 Chrome 中不安全下载的支持。…
一句话概括就是：OCSP 是server 把自己的站点证书和中间证书以及根证书打包一起下发到客户端，省去客户端查询的过程。
OCSP实时查询会增加客户端的性能开销。因此，可以考虑通过OCSP stapling的方案来解决：OCSP stapling是一种允许在TLS握手中包含吊销信息的协议功能，启用OCSP stapling后，服务端可以代替客户端完成证书吊销状态的检测，并将全部信息在握手过程中返回给客户端。增加的握手信息大小在1KB以内，但省去了用户代理独立验证吊销状态的时间。
启用OCSP stapling的方式有很多种，比如在线校验。此方式需要支持服务器能够主动访问证书校验服务器才能生效，并且在每次重启nginx的时候会主动请求一次，如果网络不通会导致nginx启动缓慢。…
什么是SSL卸载？在负载均衡器层面执行SSL。
今天我们将讨论一个经常出现的问题，对于那些没有IT背景的人来说，这可能会显得特别陌生：什么是SSL卸载？我们将快速概述一下SSL卸载意味着什么，为什么你想要这样做，以及你是否应该这样做。
一般而言，有关SSL/TLS和互联网的工作方式的一个用词不当的说法是，它是一个1：1的连接。个人的计算机直接与网络服务器连接，然后通讯就会直接从一端到达另一端。而实际上，情况要比这复杂得多，有时候两端之间最多会划分成十多段。…
Please also set cacertfile to chain.pem
You may also set certfile to cert.pem instead of fullchain.pem
listener.wss.external.keyfile = /etc/letsencrypt/live/xxxx.com/privkey.pem
listener.wss.external.certfile = /etc/letsencrypt/live/xxxx.com/cert.pem
listener.wss.external.cacertfile = /etc/letsencrypt/live/xxxx.com/chain.pem
参考 https://github.com/emqx/emqx/issues/2306
https://webcache.googleusercontent.com/search?q=cache:6Jlnb2l5RJQJ:https://medium.com/%40emqtt/using-lets-encrypt-certificates-in-emq-b11e0e57efa6+&cd=1&hl=en&ct=clnk
…
有时，人们希望获得主机名为“localhost”的证书，以用于本地开发或与需要与 Web 应用程序通信的原生应用程序一同分发。Let’s Encrypt 不能为“localhost”提供证书，因为没有人唯一地拥有它，并且它不在“.com”或“.net”等顶级域名下。您可以将您自己的域名设置为解析至“127.0.0.1”，并使用 DNS 验证获取证书。然而，通常情况下这是个坏主意，您其实有更好的选择。…
不少香港空间的新手站长，当使用了SSL证书之后，发现浏览器有https效果了，但是没有绿锁，谷歌浏览器提示“您与此网站建立的连接并非完全安全解决”
这种情况都是属于网站代码不符合SSL证书规范导致的。
来自：开源中国
链接：oschina.net/news/94188/acme-v2-and-wildcard-certificate-support-is-live
Let's Encrypt 宣布 ACME v2 正式支持通配符证书。Let's Encrypt 宣称将继续清除 Web 上采用 HTTPS 的障碍，让每个网站轻松获取管理证书。
v2 vs v1
ACME v2 与 v1 API 有许多不同之处，值得注意的变更：
ACMEv 是 ACME 协议的更新版本，考虑到行业专家和其他组织可能希望在某天使用 ACME 协议进行证书颁发和管理，它已经通过
牛犊网部署https不知不觉也将近四个月了，期间也一直没有再去进行管理和优化，也没有大家担心的那样访问会因为多次握手有所延迟，一直加载挺快。我想主要还是因为我们这一代人终于搭上了“网络运营商降价提速”的国家政策快车，站长们也基本不用再担心担心客户端的网速问题，而去不断优化JS\CSS\HTML代码了。当然，打铁还需自身硬，自己的服务器配置、带宽还是要跟上时代的步伐的。
牛犊网从2014年搬迁至阿里云之后，由于接入的是BGP网络，访问一直飞快。本来近期有把服务器搬迁至百度云的打算，怎奈一直抢不到6个月免费试用的活动资格，又见阿里云在搞全民计算活动，就趁此将牛犊网的服务器进行了一次升级。
我是一个爱折腾的人，花了一天时间将网站打包下载，上传到新服务器，部署完IIS和SQL后就可以直接访问了，因为文件数据分离，搬迁部署也非常容易。到最后环节就是部署域名证书了。结果闲着无事，就去SSL验证网站（https://www.ssllabs.com/ssltest/）去验证了下安全评级，幸运的是，因为我是win2016服务器，自带IIS10，自动开启http/2.0，检测结果是A。但是看到人家的检测结果是A+，心里就痒痒呀，忍不住就去寻找攻略。
从SSL-LABS上的检测结果来看，网站的HSTS和HPKP的头部没有部署，从百度安全指数网（https://bsi.baidu.com/topic/https.html）查询部署漏洞，也可以得到结果。通过两个头部部署要求分析，HSTS的部署方式较为简单，HPKP的较为复杂，而且容易出错，因此，我选择先从HSTS头部部署开始。
这里我只讲IIS10（IIS7 和 IIS8 同样适用）的部署方案：
这里插一句，如果你的评分低于A，而且还是win+IIS服务环境，可以下载IIS Crypto（地址：https://www.nartac.com/Products/IISCrypto/Download）进行最优安全优化，这样就可以到达A级评分了，然后再来部署HSTS。
最后开始部署HSTS，其实非常的简单，在部署了域名证书的前提下，只要在IIS10设置的HTTP响应标头组件中添加HSTS的访问识别时长就可以了。
内容填写如下：
名称：Strict-Transport-Security
值：max-age=31536000; includeSubDomains; preload
这个值是秒，换算过来正好一年。它的意思是接下来的一年时间，强制浏览器浏览页面通过https来访问，这样就可以避免运营商通过http跳转和DNS劫持投放广告了，是不是更安全了呢？
最后，再一次去ssllabs安全评分，就可以拿下A+了，此时成就感爆棚（看图1）~
攻略至此结束，只想说微软的服务器系统设置真的是越来越方便的，部署网络基础环境也是，基本也是无脑留的下一步，下次我找时间讲讲IIS 10如何部署网络基础环境。感谢欣赏和倾听我的唠叨！
作者：琚叶青，牛犊网站长
近期评论