HTTP【袋里】是如何对待HTTPS的？

发布于

　　HTTPS已经成为今天web内容安全访问的事实性标准，本质上是要求client和server两端之间建立一个安全管道，然后之间进行加密的数据传输。然而，HTTP【袋里】作为client和server之间的一个中间人，显然破坏了HTTPS要求的端到端的原则，那么HTTP【袋里】究竟是如何支持HTTPS传输的呢？

　　HTTPS

　　HTTPS其实就是HTTP协议，只不过在传输HTTP Request和Response之前，先在client和server间建立了一个TLS连接，然后才传输加密后的Request和Response。从具体过程来看，首先是client向server发起TCP连接请求，经三步握手建连成功后，client再发起TLS握手请求。经过client hello、server hello、server certificate、client key exchange和server key exchange几步后，TLS连接成功，这样双方就已经协商好了密钥，之后就可以进行安全传输了。

　　HTTP【袋里】

　　当有【袋里】存在于client和server间时，对于普通HTTP协议，client会先把Request交给【袋里】，然后【袋里】再转发给server，server给【袋里】返回Response后，【袋里】最终把Response交给client。多数【袋里】在转发Request或是Response之前，都会对其进行一定的修改，这就要求【袋里】能读懂HTTP消息格式。尤其是有些【袋里】还具有缓存功能，甚至可以直接满足Request而不必惊动server。CDN节点其实就可以被视为一种HTTP【袋里】。

　　HTTP【袋里】支持HTTPS

　　现在我们考虑让HTTP【袋里】支持HTTPS的情况。如果我们要让【袋里】理解HTTP消息格式，那就只能采用（client到proxy的安全管道+proxy到server的安全管道）这种前后端分离的机制。且不说我们是否无条件相信【袋里】，假设【袋里】没有问题，我们还是会碰到很大的麻烦：证书问题。在建立TLS连接的过程中，server需要向client返回其证书，只有其证书是有效的，client才会信任这个连接。当然，无效的证书并不一定会阻断连接，一些浏览器都会让用户选择是否继续。因为【袋里】和server未必属于同一管理实体，所以他们之间未必共享证书和密钥。这样一来，要想让client信任和它直接连接的【袋里】，就只能设置一种证书分发机制。当前的CDN提供商在HTTPS的支持上就碰到了很多问题。关于这些问题，具体可参见清华大学发表的一篇论文：When HTTPS meets CDN。

　　上面的问题都是由于要求【袋里】理解HTTP消息而言的。如果对于HTTPS，【袋里】可以不理解HTTP消息，那么就很简单了：让【袋里】只做为一个透明的传输层中继即可。现有的一些【袋里】软件也都是这么做的。client首先发送一个HTTP CONNECT请求给【袋里】，【袋里】看到这个请求后和server建立一个连接。然后【袋里】会把其和client的连接与和server的连接绑定起来，从一个连接接收到的数据会直接转发给另一个连接，根本不做任何额外的操作。这就是我们一般看到的HTTP【袋里】如何对待HTTPS的方式了。

　　[via]

评论

发表评论

Popular Posts

《活法》作者：[日]稻盛和夫 pdf下载

发布于
《活法》是日本企业家稻盛和夫的代表作，原书由日本SUNMARK出版社出版，被誉为日本21世纪励志第一书。稻盛和夫是日本两家世界500强企业京瓷和KDDI的创始人，被誉为日本经营四圣之一，他是季羡林认为稀有的既是企业家又是哲学家的人物。《活法》的思想主要源自儒家和佛教，结合稻盛和夫经营的经历与感悟，形成了一个思想体系。 　　 　　我们现今生活在纷乱如麻、前途未卜的“不安分的时代”。富裕却不知足，丰衣足食却礼节不周，充分享受自由却倍感闭塞。只要有干劲，就什么东西也可以得到，任何梦想也可以实现。但是社会却弥漫着颓废、悲观的氛围，甚至有人甘愿成为丑闻的主角，甚至犯罪。 　　为什么如此闭塞的状况充斥着整个社会？那难道不是因为很多人找不到活着的意义和价值，迷失了人生的方向吗？造成这种状况的原因，正是由于缺乏正确的人生观———恐怕不只我一个人这么想吧。 　　我想，对这个时代来说，最需要的就是从根本上质问“人为什么活着？”首先，人们要正视该问题，树立作为人生指南的“哲学”。所谓哲学，也可称之为“理念”或者“思想”。这是类似沙漠里撒水那样虚无或者在急流中打桩一样困难的事情。 　　但是，正因为我们处于鄙视劳动、纷乱浮躁的时代，我相信只有单纯且直率的质问才有更深的意义。若不能这样从根本上去尝试思考生活方式，那么，纷乱状态将愈发加深，未来将越来越混沌不清，混乱将在社会上漫布开去—-怀有如此紧迫的危机感和焦躁感的人同样应该不止我一个。我想在这本书中从正面把握人类的“人生哲学”，毫无保留地阐述我的根本思想，并从本质上再次质问活着的意义和人生应有的状态。这样，我希望能在时代的湍流中打下微小的一根木桩。各位读者，为了找到人生的乐趣，度过一个充满幸福的充实人生，我希望您能从本书获得一点启发，倘如此，我将感到无比高兴。 下载： hf_pdf.zip （PDF格式）
阅读全文

Microsoft 365安装包下载（Office桌面应用）

发布于
 Microsoft 365是微软建基于旧称Microsoft Office办公室套件的云端办公室方案，包括免费的线上Office Online、线上会议Microsoft Teams、管理信件的Outlook Web App、建立小组沟通网站的SharePoint Online等。2020年3月31日，微软宣布将会把Office 365名称改为Microsoft 365，并推出新的订阅方案，4月21日，微软正式将Office 365改名为Microsoft 365。但此次改名并不彻底，Office 365 A1/A3/E3/E5 订阅并未受此影响，这三种订阅均为教育版订阅，但现已完全更改。 Microsoft 365以收取订阅月费或年费，取代Microsoft Office 2010及以前版本的单次收费模式。借助Microsoft 365订阅计划，用户可获取完整及全套的Office应用程序：Word、Excel、PowerPoint、OneNote、Outlook、Publisher和Access（Publisher和Access仅支持PC）。可以在多种设备上（包括PC、Mac、Android平板电脑、Android手机、iPad和iPhone）安装Microsoft 365。此外，借助Microsoft 365还可获取各种适合家庭使用的服务（如OneDrive云端空间）。如果有有效Microsoft 365订阅，即可始终使用最新版本的Office应用程序。 关于如何关闭office中连接的onedrive，可以按如下操作： 文件-选项-常规-隐私设置，关闭“开启所有连接体验” 下载Microsoft 365 ProPlus： O365ProPlusRetail.img 注意：下载后需要购买Microsoft 365订阅，登录账号才可使用。
阅读全文

解决部分网站禁止复制内容的js脚本（无需安装插件）

发布于
部分网站（例如CSDN）会需要登录才可以复制内容，这无形中增加了很多麻烦，虽然也有一些浏览器插件可以解决禁止复制的问题，但是毕竟还要折腾安装。 这里给出一行脚本，打开浏览器开发者模式，在控制台输入并回车即可 javascript:document.body.contentEditable='true';document.designMode='on'; void 0 这个脚本的原理是，为页面开启编辑模式，可以直接在网页上进行文字的添加、删除和修改，就像使用文档编辑器一样。 对于如果这时候还是不能使用ctrl+c复制，那么改用ctrl+x剪切内容即可。
阅读全文

使用AdGuard的公共dns屏蔽广告

发布于
 AdGuard是一系列用于网页浏览器及跨平台内容过滤的广告拦截和隐私保护软件、开放源代码和共享软件的浏览器扩展程序产品，AdGuard允许用户使用阻止广告等页面元素的显示，借此保护用户免受不必要的广告、弹出窗口、视频、文字、横幅、跟踪、淫秽内容、恶意网站及软件和网络钓鱼的危害。 而除了安装并使用AdGuard软件以外，最快捷的方式就是使用它的公共DNS服务。在操作系统的dns设置中，可以设置以下公共DNS，实现屏蔽广告： 94.140.14.14 94.140.15.15 ipv6用户可以同时设置： 2a10:50c0::ad1:ff 2a10:50c0::ad2:ff 也可以在浏览器的设置中，使用DNS over HTTPS（DoH）： https://dns.adguard-dns.com/dns-query 更多的设置可以参考 这里 。
阅读全文

麦当劳免费Wifi帐号密码及连接设置

发布于
麦当劳推出了免费的wifi热点，全国通用。但是麦当劳的免费热点是隐藏wifi，需要手动添加才行。 麦当劳的wifi账号：McDonald-OC wifi密码：Ac28Idfjla92ifjsl3jsHdowIo（一定要注意大小写） 注意：帐号密码可能有时效性，如果你发现已经不对了，请不要怪责 下面来说说麦当劳免费wifi的连接设置。 电脑上连接设置，账号手动添加，密码采用的是WPA-PSK验证，数据加密是TKIP的。 手机上连接设置，账号手动添加，选用用隐藏网络，WPA/WPA2制式。 值得一提的是，麦当劳的免费wifi网络速度不慢，打开网页、看视频什么的OK，大家尽情的在麦当劳了里享受免费高速上网的乐趣吧。 link
阅读全文

MIFARE Classic Tool - 安卓NFC门禁卡修改工具

发布于
MIFARE Classic Tool是一个用于对MIFARE Classic RFID标签进行读取、写入、分析等操作的Android NFC应用程序，一般用来复制电梯卡，门禁卡等。 软件特点： 读取MIFARE Classic标签 保存，编辑和分享您读取的标签数据 写入MIFARE Classic标签(逐块) 克隆MIFARE Classic标签 (将标签的转储写入另一个标签；逐文件写入) 基于字典攻击的密钥管理 (将已知密钥写入字典文件) MCT将尝试对所有扇区使用这些密钥进行身份验证，并尽可能多地读取。请参阅章节入门。 将标签格式化为出厂/交付状态 对特殊类型的MIFARE Classic标签写入制造商块(块0) 使用外部NFC读取器，例如ACR 122U (请参阅帮助与信息获得更多信息) 创建，编辑，保存并分享密钥文件(字典) 解码和编码MIFARE Classic值块 解码和编码MIFARE Classic访问控制条件 比较转储(通过比较工具) 显示标签的一般信息 以高亮的十六进制形式查看标签数据 以7-Bit US-ASCII形式查看标签数据 以表格形式查看MIFARE Classic访问控制条件 以整数形式查看标签数据 计算BCC(Block Check Character/信息组校验码) 快速UID克隆功能 导入/导出/转换文件 内建离线的帮助与信息 它是一个免费软件(开源哦) ;) 下载： f-droid  |  github  | 官网
阅读全文

你恨你的亲人吗？

发布于
　　天下没有不爱子女的双亲，只是每个人表达的方式不同罢了。 　　 　　1997年5月，在我去马来西亚演讲之前，接到当地一个女孩的来信，里面附了一沓资料，细看，是医师的诊断证明：她得了血癌。 　　“我很想去听您的演讲，但是因为要动手术，不能去了。”女孩子在信里描述了病情，以及她痛苦的生活。说到她从小就被姐姐欺负，似乎对她姐姐充满怨恨。 　　看看日子，正是她要动手术的前几天，我立刻拔了越洋电话过去，是她自己接的。 　　我问她动什么手术。 　　“骨髓移植。”她说。 　　“你能找到跟自己条件相符的捐赠者，已经很不容易了。”我说，“是谁呀?” 　　“是我姐姐。” 　　“就是你信里提到的，从小总是欺负你的姐姐?那个让你抬不起头的姐姐?”我问。 　　“是，就是她。”我又问，“她知道那是非常痛的吗?” 　　“她知道。” 　　“是她自己愿意，还是你求她的?” 　　“她自己愿意。” 　　“所以你知道她是爱你的。” 　　好几秒钟，女孩子没说话。然后幽幽地说：“是的，一直到现在，我才知道她爱我。” 　　这件事让我想到一位与我通信多年。住在台湾南部的女孩子。 　　她天生身体不好，使得学业断断续续，也就常给我写信诉苦。 　　她尤其怨她的父亲，觉得父亲总在外面为事业忙，每天穿得西装笔挺，早出晚归，难得跟她说几句话。 　　我总在回信中劝她，说天下没有不爱子女的双亲，只是每个人表达的方式不同罢了。 　　有一天，又接到她的信，大意是这样的： 　　“那天，我在家晕倒了，醒过来，人在医院，身上插看管子，我睁开眼，看见老爸坐在一边，还穿着西装、打着领带。我好生气，骂他：‘我都要死了，你还没事似的，根本不关心我。’爸爸没吭气。然后，我看到护士在擦地上的血迹。我吓一跳，叫起来：‘我流血了?哪里流血了?’护士过来，指了指我爸爸，说‘不是你，是他。他叫不到车，抱着你，跑了十几条街。’我低头看爸爸，才发现他虽然穿着西装，脚上却没穿鞋子。他急着救我，居然连鞋都来不及穿，光着脚，抱着我，跑到医院。他的脚被尖锐的东西割破，还在淌着血。” [ via ]
阅读全文

中兴ZTE H618B 路由器固件刷机备忘

发布于
　　今天得闲，又把手头的ZTE ZXV10 H618B路由器拿出来折腾了一番，Tomato DualWAN固件和OpenWrt固件都刷了试用下，现讲刷机过程记录备忘。 　　一、用TFTP刷固件配套固件和软件准备：（我选择刷Tomato DualWAN固件，相关的工具都可以到 http://www.dualwan.cn/index.php/download 下载） 　　H618B固件：建议选择1.28版本的固件。（直达地址： http://www.dualwan.cn/index.php/download/category/72-1.28?download=272%3Atomato-dualwan-1.28.0542 ）下载解压，切记选择Flash8M的R1版，一般解压后有两个文件夹，一个是4M的一个是8M的，进入8M的后选择R1版，Firmware_8M目录下是8M版本的固件，R1版为tomato-K26USB-1.28.0539-MIPSR1-8M.TRX 　　TFTP软件：大多数TFTP软件都可以实用，不过还是推荐用Tomato DualWAN网站提供的工具，可以到Tomato DualWAN网站下载。（直达地址： http://www.dualwan.cn/index.php/download/category/32-tool1?download=252%3Awr-500u-wr-500v ） 　　1、首先记得把自己的电脑本地网卡地址设置为IP：192.168.1.2掩码：255.255.255.0，如果电脑有多个本地网卡，建议最好暂时停用其他网卡，这样冲突会少点。 　　2、用网线连接电脑网卡口和H618B的LAN1口（LAN1-4都任意一个都可以，但不要连接WLAN口） 　　3、本地打开TFTP软件，选中要上传的固件文件，做好上传准备。并运行CMD命令行窗口，运行：ping 192.168.1.1 -t这个时候路由器还没开机，肯定是Ping不通咯，不过没关系，让它不断ping着先。赶紧做下一步 　　4、打开H618B路由器电源，接着继续盯着ping命令窗口，直到第一次出现ping通192.168.1.1的信息（通常会显示TTL=100），立即点击TFTP软件的上传固件按钮。马上就开始了固件上传过程。。。直到TFTP提示更新完毕，然后再等待5分钟左右！ 　　5
阅读全文

月光宝盒 - 提供网站数据备份服务

发布于
　　由月光宝盒（boxcdn.com）提供的免费网站备份服务，可用空间大小为1G，分为网站文件备份和数据库备份，网站文件采用为ftp备份，数据库备份支持mysql和sqlserver两种。备份时间可以设定为每天、每周或者每月，网站文件备份速度很快。该公司运营手续齐全，如果够诚信的话，该服务将很受站长欢迎。 　　注意：该网站需要您提供网站的ftp地址，密码等资料，请自己判断是否使用其备份服务。 　　服务申请地址： http://www.boxcdn.com
阅读全文

腾讯云国内服务器重装系统并设置内网源镜像，docker内网加速镜像等

发布于
以debian 11为例，国内服务器访问debian源和docker hub源速度缓慢，为了解决这个问题，需要做一些加速镜像的设置。由于腾讯云建立了内网加速镜像，使用内网加速比网络上的一些公开镜像速度更快且更稳定一些。适合腾讯云的服务器使用。 默认从腾讯云官网重装系统后，会自动帮你设置好这些，并贴心的安排上agent。但是对于dd后的纯净系统来说，需要自己手动设置一下，记录如下： 设置内网dns 编辑 /etc/resolv.conf nameserver 183.60.83.19 nameserver 183.60.82.98 设置系统加速镜像 这里以debian 11为例。编辑 /etc/apt/sources.list deb http://mirrors.tencentyun.com/debian/ bullseye main contrib non-free deb http://mirrors.tencentyun.com/debian/ bullseye-updates main contrib non-free deb http://mirrors.tencentyun.com/debian/ bullseye-backports main contrib non-free deb http://mirrors.tencentyun.com/debian-security bullseye-security main contrib non-free 设置docker hub加速镜像 安装好docker之后，编辑 /etc/docker/daemon.json {     "registry-mirrors": [         "http://mirror.ccs.tencentyun.com"     ] } 然后执行 systemctl restart docker 使修改生效。  
阅读全文