HTTPS系统建设方案

('HTTPS系统建设方案一、https协议简介HTTPS，是以安全为目标的HTTP通道，简单讲是HTTP的安全版。但HTTP存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。HTTPS使用可以做到如下三点：1、内容加密：浏览器到服务器的内容都是以加密形式传输，中间者无法直接查看原始内容。2、身份认证：保证用户访问的是OA服务，即使被DNS劫持到了第三方站点，也会提醒用户没有访问OA服务，有可能被劫持。3、数据完整性。防止内容被第三方冒充或者篡改。二、为什么要增加https近期，Apple:要求新iOS9和OSX10.11的app使用HTTPS，未来app没有配置https有可能无法使用，将会影响用户使用，造成访问人数及流量更多的下降；在其他pc端浏览器Chrome/Firefox：未来会将http标记为不安全。三、SSL证书分类从证书的签发机构ENTRUST来分，可以分为自我签发和专业的CA认证机构签发两种。从证书认证等级来分，可以分为DV,OV和EV三种：1.域名型SSL证书（DVSSL）：网站信息安全的防护工作并不限于办公时间段，而是无论何时当网站都能被网友浏览的情况下，都必须谨慎地做好网站信息安全的基本配置，这也正是GlobalSign设计出256位域名型SSL证书的目的。而它无须进行繁杂的书面审查程序，仅需于短短几分钟内的时间就可部署于所有主流浏览器以及移动设备上，而您也可于浏览器中发现「黄色小锁」符号已经激活，代表你的电子商务交易安全，网络账户登录资讯、邮件以及更为机密的信息资讯都已在防护中。2.企业型SSL证书（OVSSL）：网络市场中有数以万计的网站，而其真实性、可靠性与否，则形成了网友浏览该网站的主要疑虑这也正是GlobalSign设计出256位企业型SSL证书的目的。它必须针对网站的域名及所有权进行严格的书面审查程序，通过我们的审核之后便可透过此证书标示企业资料，让网友直接了解拥有该网站的企业真实身份，强化对该站的信任感。而网友也可于浏览器中发现「黄色小锁」符号已经激活，无论他们提交的是付款详情、登录密码、还是其他基于互联网的交易信息都已受到妥善保护。3.增强型SSL证书（EVSSL）：增强型SSL证书（EVSSL）是最高级别的SSL数字证书。GlobalSign认为网站标示最高级别的数字证书意味着您的网站提供网友最佳信赖的浏览环境，将可以有效将陌生访客转化为精准销售的客户。增强型SSL证书（EVSSL）最大的特色便是激活网站浏览器的栏位使其变成绿色，利用鲜明的标示告诉网友：这个网站正受到最严密的信息安全防护。四、CA认证过程。将CSR提交给CA，CA一般有2种认证方式：1、域名认证，一般通过对管理员邮箱认证的方式，这种方式认证速度快，但是签发的证书中没有企业的名称；2、企业文档认证，需要提供企业的营业执照。一般需要3-5个工作日。3、EV证书，也有需要同时认证以上2种方式的证书，这种证书可以使IE7以上的浏览器地址栏变成绿色，所以认证也最严格。五、我方服务端配置1、证书的安装：由证书生成keystore文件（秘钥库）生成过程使用keytool工具完成。Keytool常用的参数如下：-genkey在用户主目录中创建一个默认文件”.keystore”-alias产生别名，不区分大小写-keystore指定密钥库的名称-keyalg指定密钥的算法(如RSA、DSA，default：DSA)-validity指定创建的证书有效期多少天-keysize指定密钥长度，范围：512~1024-storepass指定密钥库的密码-dname指定证书拥有者信息五、工作量评估1、采购或制作数字证书：22个工作日(1个月)，主要是oa审批和付款事项。2、根据证书配置服务器：7个工作日时间。3、各项目代码配置：待评估。4、发布部署、测试：待评估。六、问题1、由于非对称加密算法复杂，速度较慢，因此可能对整个系统产生一定的影响，可以使用google的HTTP/2做相应的优化处理（如需优化，也会衍生其他接口问题）。2、目前大部分接口请求都是通过http进行请求，如果切换需要对原有接口调取CURL等方法进行修改。3、目前搜索引擎对于https支持性很差，会影响页面收录，造成访问量下降，需要seo的同事，在我们配置后，参与测试评估。',)