亚洲中字慕日产2020,大陆极品少妇内射AAAAAA,无码av大香线蕉伊人久久,久久精品国产亚洲av麻豆网站

資訊專欄INFORMATION COLUMN

Nginx之OCSP stapling配置

CastlePeaK / 3490人閱讀

摘要：摘要正確地配置可以提高性能。顧名思義，它是一個(gè)用于檢查證書狀態(tài)的協(xié)議，瀏覽器使用這個(gè)協(xié)議來檢查證書是否被撤銷。存在隱私和性能問題。檢測能夠?qū)﹂_啟的網(wǎng)站的配置進(jìn)行全面分析，可以檢測的狀態(tài)。根據(jù)文檔，最好使用本地服務(wù)，可以防止欺騙。

摘要： 正確地配置OCSP stapling, 可以提高HTTPS性能。

什么是OCSP stapling?

OCSP的全稱是Online Certificate Status Protocol，即在線證書狀態(tài)協(xié)議。顧名思義，它是一個(gè)用于檢查證書狀態(tài)的協(xié)議，瀏覽器使用這個(gè)協(xié)議來檢查證書是否被撤銷。使用Chrome瀏覽器查看https://www.fundebug.com的證書詳情，可以看到OCSP的查詢地址：

Fundebug使用的是Let"s Encrypt的免費(fèi)證書，其OCSP查詢地址是http://ocsp.int-x3.letsencryp...，瀏覽器需要發(fā)送請(qǐng)求到這個(gè)地址來驗(yàn)證證書狀態(tài)。

OCSP存在隱私和性能問題。一方面，瀏覽器直接去請(qǐng)求第三方CA(Certificate Authority, 數(shù)字證書認(rèn)證機(jī)構(gòu))，會(huì)暴露網(wǎng)站的訪客(Let"s Encrypt會(huì)知道哪些用戶在訪問Fundebug)；另一方面，瀏覽器進(jìn)行OCSP查詢會(huì)降低HTTPS性能(訪問Fundebug會(huì)變慢)。

為了解決OCSP存在的2個(gè)問題，就有了OCSP stapling。由網(wǎng)站服務(wù)器去進(jìn)行OCSP查詢，緩存查詢結(jié)果，然后在與瀏覽器進(jìn)行TLS連接時(shí)返回給瀏覽器，這樣瀏覽器就不需要再去查詢了。這樣解決了隱私和性能問題。

檢測OCSP stapling

SSL Labs能夠?qū)﹂_啟HTTPS的網(wǎng)站的SSL配置進(jìn)行全面分析，可以檢測OCSP stapling的狀態(tài)。

對(duì)www.fundebug.com進(jìn)行檢查，會(huì)發(fā)現(xiàn)OCSP stapling是開啟的：

對(duì)kiwenlau.com進(jìn)行檢查，會(huì)發(fā)現(xiàn)OCSP stapling是關(guān)閉的：

配置OCSP stapling

在查詢Nginx日志時(shí)，我發(fā)現(xiàn)了這樣的報(bào)錯(cuò)信息：

2018/02/27 02:58:11 [warn] 10#10: no resolver defined to resolve ocsp.int-x3.letsencrypt.org while requesting certificate status, responder: ocsp.int-x3.letsencrypt.org, certificate: "/etc/letsencrypt/live/www.fundebug.com/fullchain.pem"

可知，是resolver屬性木有配置導(dǎo)致的。resolver屬性用于指定DNS服務(wù)器地址, OCSP查詢地址ocsp.int-x3.letsencrypt.org需要解析為IP地址。

根據(jù)Nginx文檔，最好使用本地DNS服務(wù)，可以防止DNS欺騙(DNS spoofing)。使用公共的DNS服務(wù)，例如Google Public DNS(8.8.8.8和8.8.4.4 )，都存在安全隱患。

To prevent DNS spoofing, it is recommended configuring DNS servers in a properly secured trusted local network.

因此，resolver最好配置為127.0.0.1，即本地DNS服務(wù)：

resolver 127.0.0.1;

由于本地并沒有DNS服務(wù)，因此配置resolver之后Nginx會(huì)出現(xiàn)以下報(bào)錯(cuò)：

2018/02/28 15:35:47 [error] 8#8: send() failed (111: Connection refused) while resolving, resolver: 127.0.0.1:53

這時(shí)應(yīng)該在本地運(yùn)行一個(gè)DNS服務(wù)，例如dnsmasq。我們Fundebug所有服務(wù)包括Nginx都運(yùn)行在Docker里面，因此dnsmasq直接運(yùn)行在Docker里面就好了，這樣省去了安裝與配置的步驟：

sudo docker run -d --name=dnsmasq --net=host --cap-add=NET_ADMIN andyshinn/dnsmasq:2.75 --log-facility=-

Nginx的OCSP stapling完整配置如下：(此處省略了其他無關(guān)的配置選項(xiàng))

http
{
    resolver 127.0.0.1;

    server
    {
        ssl_stapling on;
        ssl_stapling_verify on;
        ssl_trusted_certificate /etc/letsencrypt/live/www.fundebug.com/chain.pem;
    }
}
參考

TLS 握手優(yōu)化詳解

從無法開啟 OCSP Stapling 說起

How To Configure OCSP Stapling on Apache and Nginx

No resolver defined to resolve ocsp.int-x3.letsen

[Nginx resolver vulnerabilities allow cache poisoning attack]()

版權(quán)聲明:
轉(zhuǎn)載時(shí)請(qǐng)注明作者Fundebug以及本文地址：
https://blog.fundebug.com/2018/03/07/nginx_ocsp_stapling/

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://www.ezyhdfw.cn/yun/39855.html

相關(guān)文章

  • 使用 https, 并將 WWW 跳轉(zhuǎn)到 NON-WWW

    摘要：使用定時(shí)證書因?yàn)槭敲赓M(fèi)證書，所以有一個(gè)有效期是天，到期之后需要一下。工具測試評(píng)級(jí)測試評(píng)級(jí)出品的配置生成器 0x01: 背景 博客經(jīng)常不更新，服務(wù)器還時(shí)不時(shí)掛掉一次，導(dǎo)致 PageRank 基本是負(fù)的了，不過技術(shù)上要跟的上更新啊! 微信小程序接口必須是 https, 這次就當(dāng)是練手了。 0x02: 整體思路流程 確保自己的域名解析全部是 A 記錄 使用 Lets Encrypt 證書，...

    qpal 評(píng)論0 收藏0

  • 論微服務(wù)安全

    摘要：微服務(wù)能夠?yàn)閼?yīng)用程序設(shè)計(jì)提供一種更具針對(duì)性范圍性與模塊性的實(shí)現(xiàn)方案。安全微服務(wù)部署模式可謂多種多樣但其中使用最為廣泛的當(dāng)數(shù)每主機(jī)服務(wù)模式。在微服務(wù)環(huán)境下，安全性往往成為最大的挑戰(zhàn)。不同微服務(wù)之間可通過多種方式建立受信關(guān)系。 每個(gè)人都在討論微服務(wù)，每個(gè)人也都希望能夠?qū)崿F(xiàn)微服務(wù)架構(gòu)，而微服務(wù)安全也日漸成為大家關(guān)注的重要問題。今天小數(shù)與大家分享的文章，就從應(yīng)用層面深入探討了應(yīng)對(duì)微服務(wù)安全挑戰(zhàn)...

    plokmju88 評(píng)論0 收藏0

  • 全站 HTTPS，讓你的網(wǎng)站更快速，更安全

    摘要：又拍云全站產(chǎn)品特性可自主上傳證書，步開啟全站加速服務(wù)。又拍云全站產(chǎn)品日志月支持采用了，網(wǎng)站的所有訪問將始終連接到該網(wǎng)站的加密版本阻止基于的中間人攻擊，保障用戶訪問安全。 showImg(https://segmentfault.com/img/remote/1460000007823220?w=800&h=296); 1、 為什么要使用 HTTPS ? 保護(hù)用戶關(guān)鍵信息及賬號(hào)安全防止頁...

    Developer 評(píng)論0 收藏0

  • 【大量干貨】史上最完整的Tengine HTTPS原理解析、實(shí)踐與調(diào)試

    摘要：內(nèi)容主要有四個(gè)方面趨勢基礎(chǔ)實(shí)踐調(diào)試。一趨勢這一章節(jié)主要介紹近幾年和未來的趨勢，包括兩大瀏覽器和對(duì)的態(tài)度，以及淘寶天貓和阿里云的實(shí)踐情況。完整性是指為了避免網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)被非法篡改，使用算法來保證消息的完整性。 摘要： 本文邀請(qǐng)阿里云CDN HTTPS技術(shù)專家金九，分享Tengine的一些HTTPS實(shí)踐經(jīng)驗(yàn)。內(nèi)容主要有四個(gè)方面：HTTPS趨勢、HTTPS基礎(chǔ)、HTTPS實(shí)踐、HTTPS...

    snowell 評(píng)論0 收藏0

發(fā)表評(píng)論

0條評(píng)論

最新活動(dòng)
閱讀需要支付1元查看
<