HTTPS on Eason Yang's Blog

同学，Let's Encrypt的wildcard证书了解下

Wed, 16 May 2018 12:53:24 +0000

背景

去年看到 Let’s Encrypt 宣布将在 2018 年支持 wildcard SSL 证书的消息时就一阵兴奋，虽然后来跳票了一次，但最终还是于前段时间正式支持了。本文将使用 acme.sh 这个小工具来体验下此项特性。

SSL证书的格式与扩展名

Mon, 20 Mar 2017 00:10:59 +0000

编码格式

PEM

内容：以 -----BEGIN xxx----- 作为开头，以 -----END xxx----- 作为结尾，主体部分使用 base64 对 ACII 进行编码。可以储存公钥证书（服务器证书及中检证书，「xxx」为「CERTIFICATE」）和私钥（「xxx」为「RSA等加密算法名称 PRIVATE KEY」），也可以储存两者的联合，但通常情况下，Apache 等软件都会要求将公钥和私钥分开存储到不同的文件。
场景：*NIX 操作系统下普遍倾向于使用这一编码格式。
扩展名：.pem 、.key 、.csr 、.cer 、.crt
生成：openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 扩展名参照上文
查看：openssl x509 -in certificate.pem -text -noout 扩展名参照上文

DER

内容：由0、1组成的二进制数据，可以储存任何类型的公钥证书和私钥，不可读。
使用场景：Windows 系统及 Java 平台倾向于使用这一编码格式。
扩展名：.der 、.key 、.csr 、.cer 、.crt
生成：openssl req -x509 -newkey rsa:4096 -keyout key.der -outform der -out cert.der -days 365 扩展名参照上文
查看：openssl x509 -in certificate.der -inform der -text -noout 扩展名参照上文

扩展名总结

启用OCSP Stapling

Sun, 19 Mar 2017 18:37:00 +0000

前言

尽管相对于 HTTP ，HTTPS 在安全性上已经有了质的飞跃，然而简单的设置 HTTPS 仍无法避免类似于中间人攻击这样的恶意行为，而本文所要介绍的 OCSP Stapling 和下篇文章将要介绍的 Certification Transparency 就是用来防范这些恶意行为的。

什么是 OCSP Stapling

OCSP (Online Certificate Status Protocol) 通常由 CA 提供，用于在线实时验证证书是否合法有效，这样客户端就可以根据证书中的 OCSP 信息，发送查询请求到 CA 的验证地址，来检查此证书是否有效。

然而这些默认查询 OCSP 的客户端在获得查询结果的响应前势必会一直阻塞后续的事件，在网络情况堪忧的情况下（尤其是大陆地区）会造成较长时间的页面空白。

而 OCSP Stapling ，顾名思义，是将查询 OCSP 接口的工作交给服务器来做，服务器除了可以直接查询 OCSP 信息，还可以仅进行少数次查询并将响应缓存起来。当有客户端向服务器发起 TLS 握手请求时，服务器将证书的 OCSP 信息随证书链一同发送给客户端，从而避免了客户端验证会产生的阻塞问题。由于 OCSP 响应是无法伪造的，因此这一过程也不会产生额外的安全问题。

为Nginx启用Brotli压缩算法

Fri, 02 Dec 2016 00:05:52 +0000

什么是 Brotli 压缩算法

Brotli最初发布于2015年，用于网络字体的离线压缩。Google软件工程师在2015年9月发布了包含通用无损数据压缩的Brotli增强版本，特别侧重于HTTP压缩。其中的编码器被部分改写以提高压缩比，编码器和解码器都提高了速度，流式API已被改进，增加更多压缩质量级别。新版本还展现了跨平台的性能改进，以及减少解码所需的内存。

与常见的通用压缩算法不同，Brotli使用一个预定义的120千字节字典。该字典包含超过13000个常用单词、短语和其他子字符串，这些来自一个文本和HTML文档的大型语料库。预定义的算法可以提升较小文件的压缩密度。

使用brotli替换deflate来对文本文件压缩通常可以增加20%的压缩密度，而压缩与解压缩速度则大致不变。使用Brotli进行流压缩的内容编码类型已被提议使用“br”。

摘自：https://zh.wikipedia.org/wiki/Brotli

另附 Brotli 算法和其他算法的性能比较：

兼容性

Google Chrome supported Brotli from version 49.

Microsoft Edge has Brotli in Development.

Mozilla Firefox implemented Brotli in version 44.

Opera supports Brotli since version 36.

Safari, no public commitment as of October 2016.

摘自：https://en.wikipedia.org/wiki/Brotli

安装 Brotli 所需模块

首先安装 bagder/libbrotli

使腾讯404公益页面支持HTTPS

Sat, 06 Aug 2016 22:55:08 +0000

更新：

经评论提醒，我才发现腾讯的 404 公益页面的数据源和页面样式已经有所更新。对于我们希望使其支持 HTTPS 的使用者而言，要做的也再不仅仅是简单的替换。

替换 URL

除了需要把原来的 qzonestyle.gtimg.cn/qzone_v6/lostchild 替换为 qzone.qq.com/gy/404 外，还需要将 page.js 中的众多 HTTP 开头的 URL 修改为 HTTPS。

简单的替换之后，我们会发现从 data.js 中获取的图片地址仍然是一个 HTTP 链接，此时需要修改用来格式化数据的 resolveData(d) 函数，在 for 循环中添加：

`1`	`d.data[i].child_pic = d.data[i].child_pic.replace(/^http/, "https");`

设置返回按钮

此外，我们可以在官网的说明页面中看到公益 404 更新之后提供了例如「返回首页」这样的实用功能，分析一下 page.js 的代码，不难发现其实现方法是遍历了所有 script 标签然后获取指定标签上的指定属性值，因此我们只要将 homePageUrl 和 homePageName 属性添加到我们自己指定的 data.js 的 script 标签（原代码中指定的是 search_children.js 的 script 标签）上即可。

问题

在 page.js 的原代码中，我看到了一个访问 http://boss.qzone.qq.com/fcg-bin/fcg_zone_info 的请求，获取的数据似乎是访问者的某些信息，目前未发现这些数据对 404 页面有何影响，另一方面该网站也不支持 HTTPS 访问，因此本文选择将这个请求注释掉。