Recientemente varios amigos hacen ajedrez corrió a preguntarme, dijo que ahora DDoS golpeó cada vez más feroz, quieren ir en la CDN de alta defensa y preocuparse por el cifrado HTTPS - después de todo, la recarga del juego, los datos del usuario, los registros de juego de cartas son información sensible, la transmisión desnuda es simplemente una invitación a los hackers para hacer una fiesta. Directamente me deshice de la conclusión:Las CDN habituales de alta defensa no sólo admiten HTTPS, sino que deben estar cifradas durante todo el procesoPero aquí hay más baches de los que crees.
El año pasado nuestro equipo se hizo cargo de un proyecto de ajedrez, acaba de migrar a un CDN de la polilla. La retroalimentación de los usuarios de vez en cuando recibe una “advertencia de certificado”, una comprobación para encontrar el nodo CDN de vuelta a la fuente realmente utilizado HTTP, datos sensibles en el último enlace desnudo. Yo estaba tan enojado que estaba en el lugar para golpear la mesa:Hoy en día, ¡hasta las CDN tienen que “prevenir a los compañeros de equipo”!。
¿Por qué el ajedrez y las cartas deben atenerse a la encriptación HTTPS? En pocas palabras tres puntos de dolor: en primer lugar, el estado de inicio de sesión del usuario y los datos de la transacción se intercepta directamente significa que el carnaval de la industria negro; en segundo lugar, el operador olfatea las palabras clave de juego puede pellizcar directamente la línea; en tercer lugar, iOS y Android tiendas están ahora en la transmisión de texto plano de la auditoría App rechazado directamente. No me preguntes cómo lo sé, pagado mis deudas unas cuantas veces.
Después de haber probado tres grandes proveedores de CDN de alta defensa (llamados al azar CDN5, CDN07, 08Host creo), la conclusión es:Soportar HTTPS es sólo una operación básica, la clave está en ver cómo conseguir el bucle cerrado del enlace cifradoPor ejemplo, en la configuración por defecto de CDN5, el usuario va al nodo CDN a través de HTTPS, pero el nodo de vuelta a la fuente a través de HTTP. Por ejemplo, la configuración por defecto de CDN5, el usuario al nodo CDN es HTTPS, pero el nodo de vuelta a la fuente, pero fue HTTP - este “cifrado a mitad de camino” es puramente psicológica comodidad. Más tarde, me di la vuelta el documento sólo para encontrar que para abrir una separada “fuerza de nuevo a la fuente HTTPS” interruptor, oculto más profundo que el menú oculto de la Hai Di Lao.
Aquí publicamos una configuración de repositorio Nginx probada y utilizable para ayudarle a evitar las trampas:
No mire sólo unas pocas líneas, 08Host servicio al cliente en realidad me dijo que no son compatibles con HTTPS de nuevo a la fuente, tuvo que dejarme cambiar a reenvío de puerto TCP. Me revés en la prueba CDN07, la gente no sólo el apoyo, sino también con su propio certificado para hacer la verificación de dos vías - el servidor de juego sólo acepta solicitudes del nodo CDN, el chantaje quiere falsificar de nuevo a la puerta del paquete de origen no tienen.
La gestión de certificados es lo más profundoLo primero que tienes que hacer es conseguir un certificado para tu clave privada. Algunos proveedores de CDN te permiten subir la clave privada del certificado, y las empresas con gran corazón directamente no les gustan con certificados comodín. Te lo recomiendo encarecidamente:Nunca exponga nodos de alta defensa con certificados comodín¡! Una vez infiltrado un nodo de borde, todos sus subdominios pueden quedar desnudos. La práctica habitual hoy en día es emitir certificados para subdominios, o incluso utilizar certificados de validez corta para rotarlos automáticamente (por ejemplo, Let's Encrypt con el script acme.sh).
El año pasado, en la arquitectura que hicimos para el proyecto Texas Nights, firmamos certificados separados para el lado del usuario, la API backend y las devoluciones de llamada de pago. Con la función SNI (Server Name Indication) de CDN5, la misma IP puede alojar docenas de certificados, ¿y el hacker quiere comprobar el nombre de dominio a través del contador de IP? Directamente que dude de su vida.
La cuestión del rendimiento también es un punto de apuesta. Mucha gente piensa que el handshake HTTPS consume rendimiento, pero el moderno TLS 1.3 ha presionado el tiempo de handshake a menos de 1-RTT. Datos de la prueba: CDN07 abierto TLS 1.3 + ECDHE intercambio de claves, el retraso medio es sólo 8ms mayor que HTTP, pero la capacidad anti-hijacking al doble. En cuanto a la encriptación de consumo de CPU, ahora son de hardware acelerado tarjeta, QPS 200.000 por debajo del nodo de juego no puede sentir las fluctuaciones.
La maniobra más extravagante de todas es la “incautación de certificados”.”--Algunas CDN pequeñas firmarán en secreto sus propios certificados para tus nombres de dominio, lo que se llama “optimizar la experiencia”, pero en realidad equivale a dejar una puerta trasera en tu canal de datos. El método de detección es muy sencillo: utilice openssl s_client para conectarse al nodo CDN y ver si hay algún emisor desconocido en la cadena de certificados. Tras detectarlo una vez, ahora escribimos directamente en el contrato “prohibir firma de certificado”.
Hablando de configuración práctica, comparte una lección de sangre:No se limite a hacer clic en “Activar HTTPS” en la consola CDN y pensar que todo va bien.. El enlace cifrado completo requiere cuatro pasos de verificación:
Por último, algunos proveedores anuncian “soporte HTTPS” como argumento de venta, pero la configuración por defecto está llena de vulnerabilidades. Si realmente quieres proteger la seguridad de los datos del tablero, tienes que revisar esta lista punto por punto:
Al fin y al cabo, HTTPS para CDNs de ajedrez de alta defensa no es una pregunta de opción múltiple, sino una pregunta de respuesta obligatoria. Pero el cifrado no es suficiente, tiene que ser defendido contra todos los aspectos como un jack-in-the-box-.Si no encriptas ninguno de los enlaces del navegador al servidor, es como poner la combinación de la caja fuerte en la puerta del casino.. Ahora mi equipo siempre activa HTTPS de enlace completo por defecto para los nuevos proyectos, e incluso exige al proveedor de CDN que proporcione plantillas de configuración con puntuaciones de SSL Labs de A+ o superiores.
Por cierto, un huevo al final: durante la prueba, descubrí que el nodo japonés de 08Host había instalado por error un certificado raíz autofirmado, lo que provocaba frecuentes alarmas en los dispositivos iOS. Así queAsegúrate de escanear todo el nodo con una herramienta de inspección SSL antes de activarlo.Al fin y al cabo, sus usuarios no le darán una segunda oportunidad para confiar en usted.
