http - 不支持 SSL 时对 HTTPS 请求的规范处理

Question

如果客户端请求的域没有有效的 CA 签名证书，并且服务器不打算支持 HTTPS 但确实支持该域的 HTTP，那么在 Web 服务器中处理此问题的最佳方法是什么。请注意，服务器确实处理其他域上的 SSL (HTTPS) 请求，因此它正在监听 443。

这适用的示例是多个子域，其中子域是动态创建的，因此注册 CA 签名证书变得极其困难。

我见过人们尝试用 HTTP 错误代码进行响应，但这些似乎没有实际意义，因为客户端(浏览器)将首先验证证书并在处理任何 HTTP 之前向用户发出硬警告。因此，客户端只有在“继续”通过证书警告时才会看到错误代码。

是否有处理这种情况的规范方法？

Answer 1

对于这种情况没有规范的方法。如果 HTTPS 被破坏，客户端不会自动降级到 HTTP，并且在这方面更改客户端将是一个非常糟糕的主意 - 攻击者攻击 HTTPS 所需要做的就是推断 HTTPS 流量以创建客户端降级为不 protected HTTP 流量。

因此，您需要确保客户端不会尝试访问无法正常工作的 URL(即不要发布此类 URL)，或者确保您拥有这些子域的有效证书，即调整创建子域的过程，使它们不仅具有 IP 地址而且具有有效证书(可能使用通配符证书)。