HTTPS与SNI扩展，一个IP多个证书
- - Xiaoxia[PG]在搭建支持HTTPS的前端代理服务器时候，通常会遇到让人头痛的证书问题. 根据HTTPS的工作原理，浏览器在访问一个HTTPS站点时，先与服务器建立SSL连接，建立连接的第一部就是请求服务器的证书. 而服务器在发送证书的时候，是不知道浏览器访问的是哪个域名的，所以不能根据不同域名发送不同的证书. 用过GoAgent的人都知道需要给浏览器导入证书才能使用HTTPS正常登录Twitter等网站.
HTTPS与SNI扩展，一个IP多个证书
标签：
Internet
我的分享
| 发表时间：2012-12-18 14:23 | 作者：Xiaoxia
出处：http://xiaoxia.org
在搭建支持HTTPS的前端代理服务器时候，通常会遇到让人头痛的证书问题。根据HTTPS的工作原理，浏览器在访问一个HTTPS站点时，先与服务器建立SSL连接，建立连接的第一部就是请求服务器的证书。而服务器在发送证书的时候，是不知道浏览器访问的是哪个域名的，所以不能根据不同域名发送不同的证书。用过GoAgent的人都知道需要给浏览器导入证书才能使用HTTPS正常登录Twitter等网站。
SNI（Server Name Indication）是为了解决一个服务器使用多个域名和证书的SSL/TLS扩展。一句话简述它的工作原理就是，在连接到服务器建立SSL连接之前先发送要访问站点的域名（Hostname），这样服务器根据这个域名返回一个合适的证书。目前，大多数操作系统和浏览器都已经很好地支持SNI扩展，OpenSSL 0.9.8已经内置这一功能，据说新版的nginx也支持SNI。
Github上有一个小巧的支持SNI的代理服务器， https://github.com/dlundquist/HTTPS-SNI-Proxy
我down下来，在一个VPS上编译（需要安装pcre的开发库），写了一个简单的配置文件，把所有访问443端口的HTTPS请求都进行代理。启动sni_proxy之后，修改本地的hosts文件，把twitter.com映射为服务器的IP地址，比如我的是
184.82.206.107 twitter.com
然后，在浏览器里访问 https://twitter.com/。
看到木有，这是活生生的twitter的证书。
相关 [https sni 扩展] 推荐：
https协议
- - 互联网 - ITeye博客SSL 协议的握手过程 . 为了便于更好的认识和理解 SSL 协议，这里着重介绍 SSL 协议的握手协议. SSL 协议既用到了公钥加密技术(非对称加密)又用到了对称加密技术，SSL对传输内容的加密是采用的对称加密，然后对对称加密的密钥使用公钥进行非对称加密. 这样做的好处是，对称加密技术比公钥加密技术的速度快，可用来加密较大的传输内容，公钥加密技术相对较慢，提供了更好的身份认证技术，可用来加密对称加密过程使用的密钥.
Go和HTTPS
- - Tony Bai近期在构思一个产品，考虑到安全性的原因，可能需要使用到 HTTPS协议以及双向数字证书校验. 之前只是粗浅接触过HTTP（ 使用Golang开 发微信系列）. 对HTTPS的了解则始于那次 自行搭建ngrok服务，在那个过程中照猫画虎地为服务端生成了一些私钥和证书，虽然结果是好 的：ngrok服务成功搭建起来了，但对HTTPS、数字证书等的基本原理并未求甚解.
Google https被屏蔽
- - 月光博客 根据Google透明度报告 显示，从上周（5月27日）开始，Google的部分服务开始被屏蔽，其中最主要的是HTTPS搜索服务和Google登录服务，所有版本的Google都受到影响，包括Google.hk和Google.com等. 此次屏蔽的方法主要屏蔽Google部分IP地址的443端口，包括google.com.hk，accounts.google.com的部分IP的443端口被封，导致部分中国用户无法访问Google搜索和Gmail，由于Google的IP地址非常多，而被屏蔽的只是其中部分IP，因此只有部分用户受到了影响.
HTTPS的二三事
- - 细语呢喃前几篇博文都是有关HTTPS的东西，有人可能会问，什么是HTTPS. 因此，本文主要来解答这些疑惑. Alice和Bob是情人，他们每周都要写信. Alice 写好后，送到邮局，邮局通过若干个快递员到Bob，Bob回信过程类似. 这是可以看成的简单的http的传输. 有一天，Alice觉得，要是写的信中途被人拆开了呢.
HTTPS劫持研究
- - FreeBuf互联网安全新媒体平台这篇文章描述了我们对哈萨克斯坦政府实施的电信级HTTPS劫持的分析. 哈萨克斯坦政府最近开始使用一个假的根证书颁发机构，对包括Facebook，Twitter和Google等网站在内的HTTPS连接进行中间人（MitM）攻击，在此文中，我们给出了还在进行中的研究的初步结果，以及哈萨克劫持系统中新的技术细节.
手机抓包HTTPS
- -之前也介绍过 Charles 抓包神器，详细可以看这篇文章： 抓包神器. 这个神器主要是解决在开发过程中快速定位异常，到底是界面展示 Bug 还是接口数据异常. 这样借助这个神器，基本上在开发过程中就能解决很多问题了. 学会手机抓包也能解决开发中很多问题，不仅如此，还能解锁去广告、白嫖 VIP 等骚操作.
最新网址 https://72.52.124.208
- chanjw - 电驴下载基地精彩世界 cmule.com 我们传递.
最新网址 https://72.52.124.209
- Asker - 电驴下载基地精彩世界 cmule.com 我们传递.
Google升级HTTPS加密
- 请叫我火矞弟 - Solidot民不拜天又不拜孔子留此膝何为 写道 "Google 修改了启用HTTPS服务的加密方法，以应对未来技术发展后可能造成的解密行为. 这项升级适用于Gmail、Docs和Google+. 现在的HTTPS实现借助于只有域名主人所掌握的私钥生成的session key来加密服务器和客户端之间的流量. 这种方法使得连接可能被所谓“追溯式解密攻击”（retrospective decryption attack）破解.