security - 关于 SSL 的问题

Question

我有几个关于 SSL 证书的问题。

我以前从未使用过它们，但我当前的项目要求我这样做。

问题 1.

您应该在哪里使用 SSL？就像我知道登录之类的地方一样，重置密码是明确的地方。他们登录后怎么样？即使帐户中的数据不被视为敏感数据，所有请求都应该通过 SSL 吗？这会减慢重要部分的 SSL 速度吗？或者它没有什么区别？(好吧，你有 SSL 无论如何都可以让一切通过它)。

问题 2.

我知道在 smtp 中您也可以启用 SSL。我猜如果您向他们发送休息密码，这会非常好用。

如果启用此设置，我如何判断 SSL 是否正常工作？比如我怎么知道它是否真的启用了它？如果邮件服务器未启用 SSL 而您启用了该 bool 值，会发生什么情况。那么它会以非 SSL 形式发送吗？

Answer 1

对于 SSL 连接，最昂贵的部分之一(相对而言)是连接的建立。例如，根据它的设置方式，它可能会创建一个临时的(即时创建的)RSA key 来建立 session key 。如果必须不断创建其中许多，那可能会有些昂贵。但是，如果新连接的创建不太常见(并且使用时间更长)，那么成本可能不相关。

一旦建立连接，SSL 的附加成本就不会那么高，尽管它确实取决于加密类型。例如，使用 256 位 AES 进行加密比使用 128 位 RC4 进行加密需要更多时间。我最近在同一台 PC 上进行了一些通信测试，其中客户端和服务器都来回回显数据。换句话说，通信几乎占了测试的全部成本。使用 128 位 RC4 增加了大约 30% 的成本(以时间衡量)，使用 256 位 AES 增加了近 50% 的成本。但请记住，这是在环回适配器上的一台 PC 上进行的。如果数据通过 LAN 或 WAN 传输，则相对成本要低得多。因此，如果您已经建立了 SSL 连接，我会继续使用它。

至于验证是否实际使用了 SSL？可能有“官方”方法来验证它，使用网络嗅探器是穷人的版本。我运行 Wireshark 并嗅探网络流量并比较非 SSL 连接和 SSL 连接并查看原始数据。我可以很容易地看到非 SSL 版本中的原始文本数据，而 SSL“看起来”是加密的。当然，那绝对没有任何意义。但它确实表明数据正在发生“某些事情”。换句话说，如果您认为您使用的是 SSL，但可以识别网络嗅探中的原始文本，那么某些东西没有按您预期的那样工作。然而，反之则不然。仅仅因为您无法读取它，并不意味着它已被加密。