security - 如果我可以使用 https，为什么还要使用相关协议(protocol)？

Question

住在叙利亚，当(Facebook、G+、Twitter...等)插件无法在 90% 的网络上运行时，我感到非常不高兴。

问题是这些(社交)网站在叙利亚不受欢迎(政府决定)，但仍然 work perfectly using https .但是，由于他们的插件使用相关协议(protocol)，而大多数网站使用 http，因此这些插件最终会尝试(并失败)使用 http 进行加载。

问题是:如果可以使用 https，为什么曾经使用相关协议(protocol)？，使用 https 并安全地传输用户数据不是总是更好吗？ ？

我认为大型网站不关心 https 开销，那么我在整个过程中遗漏了什么？

Answer 1

如果您想在 300 毫秒内获得响应，我发现不使用 SSL (HTTPS) 的唯一原因是性能。

SSL hanshake 可能需要一些 rount-trip-time's，这可能会从同一区域(例如美国东部的客户端和服务器)的非常少的 ms 增加到 600 ms 或更多。我在南美洲，所以有时在美国使用服务器可能需要更多时间。

即使序列图看起来很简单，TCP 也有一个初始拥塞窗口，这使得协议(protocol)至少需要一个 RTT(往返时间)，服务器才能将完整的证书发送给客户端。更改此初始拥塞窗口 (cwnd) 的服务器除外。

此外，SSL 协议(protocol)更为复杂，可能存在需要额外 RTT 的“更改密码规范消息”。

SSL 握手后，额外的工作发生在服务器和客户端使用对称 key 加密和解密。但根据我的经验，这并不重要(可能占总 CPU 使用率的 5%)。

我的评论对网络服务很有用。现在，如果我们谈论网站，我会用 HTTPS 做所有事情。