security - 为什么对 Azure Blob 存储使用 HTTPS

Question

我有一个 ASP.NET 网站，该网站需要登录并在所有页面上使用 SSL 来保护用户的凭据和身份验证 cookie。假设一个页面有一个带有以下 src 的图像元素:

https://mystorageaccount.blob.core.windows.net/mycontainer/myimage.jpg?sv=...

这会使用限时共享访问签名从 Azure 存储上的私有(private) blob 容器请求图像文件。我并不是特别希望这张图片被截取。但是，对于此请求使用 HTTPS 有什么意义吗？中间人肯定可以在 SAS 时间范围内使用 URL 本身来接收图像吗？

我意识到更安全的选择是从存储服务器端获取图像，并仅将其提供给经过身份验证的用户，但速度很重要，因此我想避免这种情况。我的问题是，当浏览器直接从 Azure 存储请求图像时，HTTPS 有什么好处还是应该使用 HTTP？

Answer 1

使用 HTTPS，安全连接是在传输任何 HTTP 流量之前在 TCP 层完成的。仅主机名和端口号以不安全的方式提交(因为它们用于建立 TCP 连接)，然后一旦建立了安全连接，则剩余的 HTTP 内容(URL 的路径部分和任何查询参数)将通过以下方式安全提交: HTTPS。

这一切都在维基百科关于 HTTPs 的文章中进行了解释 - http://en.wikipedia.org/wiki/HTTPS 。