近年來互聯(lián)網(wǎng)上的安全事故頻發(fā)，因此行業(yè)內(nèi)開始了新的一輪對互聯(lián)網(wǎng)安全的大討論。其中已經(jīng)有20多年歷史的Http協(xié)議備受爭議，由于其采用明文傳輸，讓黑客有了可乘之機。但是其“安全版本”Https處理效率慢導(dǎo)致的訪問延時則成為阻礙其推廣的一大瓶頸。近期，浪潮推出了針對Https的SSL加解密加速解決方案，使Https加解密效率提升十倍以上，保障訪問安全的同時，不會影響網(wǎng)站訪問的效率，為打造更安全的網(wǎng)絡(luò)環(huán)境奠定基礎(chǔ)。
有天，小A接到用戶的反饋，說是在其官網(wǎng)下載的游戲是另家公司的產(chǎn)品。當時小A還很天真的以為是網(wǎng)站的運營掛錯了鏈接，怒氣沖沖的與運營理論了一番，卻發(fā)現(xiàn)鏈接沒有問題，后來以為是用戶自己下載錯了，這件事也就過去了。但是，過了一段時間，公司內(nèi)部人員在下載時發(fā)現(xiàn)了同樣的事情！于是，內(nèi)部開展深入調(diào)查，發(fā)現(xiàn)大概有20%左右的正常鏈接會被重定向到另一個鏈接。技術(shù)分析原因，應(yīng)該是黑客在數(shù)據(jù)出口截取下載地址，并進行了替換。于是，公司采用了Https，以后就再未復(fù)現(xiàn)過此問題。
其實，這僅僅是危險的互聯(lián)網(wǎng)中一個小小的事件，釣魚網(wǎng)站、DNS劫持、DNS污染、網(wǎng)站篡改等等都無時無刻不在發(fā)生。為何看似平靜的互聯(lián)網(wǎng)會有如此多的風(fēng)波？起因，是當時技術(shù)能力的限制，以及對人心的信任。由于Http只是基于TCP協(xié)議的字符串明文傳輸，在不可信任的網(wǎng)絡(luò)中，這和裸奔沒有任何區(qū)別，黑客用抓包軟件可以輕易的看到網(wǎng)絡(luò)上誰在訪問哪個鏈接，這些瑣碎的信息則會暴露用戶的隱私。
Https：安全與性能不可兼得？
為了提升數(shù)據(jù)傳輸?shù)陌踩詥栴}， Https應(yīng)運而生。Https在HTTP下加入SSL層（安全套接層）/TLS(TLS是SSL的升級協(xié)議)，HTTPS在傳輸數(shù)據(jù)之前需要客戶端（瀏覽器）與服務(wù)端（網(wǎng)站）之間進行數(shù)次握手，在握手過程中將確立雙方加密傳輸數(shù)據(jù)的密碼信息，這樣，Https就能保障數(shù)據(jù)在傳輸過程中不被非法篡改和利用。
但是我們卻看到了一個不幸的現(xiàn)狀，為什么我們現(xiàn)在看到的大部分網(wǎng)站仍是Http開頭？原因很多，比如會牽涉到將已有的網(wǎng)站改動、認證證書需要費用等。但是阻礙大部分網(wǎng)站采用Https協(xié)議的主要原因在于，Https相比Http的延時更大。
是什么導(dǎo)致了Https延遲？
是什么導(dǎo)致了更高的延遲？http使用TCP 三次握手即可建立連接，客戶端和服務(wù)器需要交換3個包，但是https除了 TCP 的三個包，還要加上 ssl握手需要的9個包，一共是12個包。那么實際SSL握手到底需要多長時間？目前有一些同時支持Http和Https的網(wǎng)站，以Computer Science House網(wǎng)站為測試范本，建立一個Http鏈接需要114毫秒，而https建立連接，則耗費436毫秒。也就是說Https比Http多花費322毫秒，其中大部分是ssl 本身加解密的開銷。為什么一個握手環(huán)節(jié)環(huán)節(jié)會有如此大的時間消耗？
Https工作模式圖
我們來看看，在Https建立連接前的這300多毫秒中到底發(fā)生了什么？Https的握手環(huán)節(jié)中，首先當你的瀏覽器向服務(wù)器請求一個安全的網(wǎng)頁(通常是 https://)，服務(wù)器就把它的證書和公匙發(fā)回來，瀏覽器檢查證書是不是由可以信賴的機構(gòu)頒發(fā)的，確認證書有效和此證書是此網(wǎng)站的。使用公鑰加密了一個隨機對稱密鑰，包括加密的URL一起發(fā)送到服務(wù)器，服務(wù)器用自己的私匙解密了你發(fā)送的鑰匙。然后用這把對稱加密的鑰匙給你請求的URL鏈接解密。服務(wù)器用你發(fā)的對稱鑰匙給你請求的網(wǎng)頁加密，你也有相同的鑰匙就可以解密發(fā)回來的網(wǎng)頁了。
Tips：看著有點暈？那么換個形象的說法。比如小A要和遠方的女朋友B通信，而且又不想信息被其他人（比如郵遞員）獲取，那么小A先買一個帶鎖的箱子，但是在寄給女友B的時候不上鎖，只是把開著的鎖放在開著的箱子里，通過郵遞員寄給女友B。當B收到箱子后，明白了這是小A想要傳遞秘密信息。那么B拿出了自己的另一個密碼箱，把明文信件放在這個密碼箱中，為了讓小A能夠打開密碼箱，B在一張紙條上寫上這個密碼箱的密碼，并連同密碼箱一同放進小A的箱子里，然后通過小A的鎖鎖上箱子郵遞回小A（這類似俄羅斯套娃，在一個大箱子里放入一個小箱子），這樣小A收到箱子后，用自己的要是打開箱子，并依照箱子里的密碼紙條打開B的密碼箱，就能夠讀到信息了�；貜�(fù)的話，則采用同樣的方式。這種方式，在傳輸過程中始終沒有明文鑰匙的傳遞，也就避免了信件被偷窺。
怎么降低延遲？浪潮加解密解決方案，提升十倍性能
從Https握手過程來看，在多次的握手過程中，最耗時，也最消耗服務(wù)器計算資源的是非對稱加密密鑰的生成和加解密。以目前主流的RSA2048為例，秘鑰是兩個大質(zhì)數(shù)的積，長度為2048位（二進制位），也就是每次訪問過程中，服務(wù)器需要先生成兩個大質(zhì)數(shù)，并進行公開秘鑰的計算。（計算公式為A=B^e2 mod n，B=A^e1 mod n。A、B互為公鑰和私鑰，n為兩個大質(zhì)數(shù)的乘積，e1、e2為一對隨機相關(guān)值）。在同等硬件條件下，2048bit https比http并發(fā)性能要弱5-10倍，甚至更多。
據(jù)某互聯(lián)網(wǎng)公司實測，正常情況下一個16核的CPU能夠達到3000 OPS（每秒3000次RSA操作）就算不錯的成績了，也就是說一臺雙路服務(wù)器每秒能夠同時處理的握手次數(shù)500次（Https每次連接需要12次握手）。而且，每個網(wǎng)站不僅包括一個頁面，比如主頁面、登錄頁面、子頁面等等，這些都需要通過SSL進行加密傳輸數(shù)據(jù)，因此通用x86服務(wù)器做SSL加解密會造成較高的延時，并且在高并發(fā)訪問時容易造成服務(wù)器宕機。以淘寶雙十一為例，千萬級的訪問量，如果采用通用服務(wù)器來處理Https的加解密，則需要數(shù)千臺，這顯然是現(xiàn)實的。
既然依靠CPU的通用計算不能很好地進行SSL加解密的高速運算，那么是不是能夠通過專用的加速卡來實現(xiàn)？就像用GPU來實現(xiàn)圖像運算那樣，答案是肯定的。SSL專用加速卡，相比x86架構(gòu)的CPU，雖然不能勝任通用計算應(yīng)用需求，但是經(jīng)過專門的算法和架構(gòu)優(yōu)化，在進行RSA加密計算時的性能大大優(yōu)于傳統(tǒng)架構(gòu)。
浪潮SA5212M4服務(wù)器
近日，浪潮推出了基于SA5212M4的、專門面向SSL加解密加速的軟硬一體化解決方案，支持IPsec、SSL 加速和壓縮功能，可提供高達 50 Gbps 的加密速度和高達 24 Gbps 的壓縮性能。浪潮SSL加解密加速解決方案在單卡情況下即可實現(xiàn)在RSA1024操作中190K OPS（每秒運算次數(shù)），而在RSA2048時也能達到35K的速度，與通用服務(wù)器相比能夠有10倍以上的性能提升。
2015年，GoogleI/O大會上，谷歌提出了在網(wǎng)絡(luò)上使用“HTTPS everywhere”的倡導(dǎo)，目前在國內(nèi)百度和淘寶已經(jīng)實現(xiàn)了Https的全站覆蓋，并且越來越多的網(wǎng)站開始使用Https協(xié)議來保障數(shù)據(jù)的安全，浪潮SSL加解密解決方案將為更安全的網(wǎng)絡(luò)環(huán)境奠定基礎(chǔ)。
業(yè)界動態(tài)
信通院認可！深信服智能邊緣計算
在線咨詢