Kesalihan konfigurasi HTTPS - CDN - Alibaba Cloud Documentation Center

Hypertext Transfer Protocol Secure (HTTPS) membuat saluran aman di atas HTTP untuk melindungi konten yang ditransmisikan melalui Alibaba Cloud CDN. Protokol ini memungkinkan klien menjelajahi situs web secara aman dan efisien dengan akses yang dipercepat. Topik ini menjawab pertanyaan umum mengenai HTTPS.

Apa itu HTTPS?

Hypertext Transfer Protocol Secure (HTTPS) adalah protokol yang mengenkripsi data yang ditransmisikan melalui HTTP guna menjamin keamanan. Protokol HTTP mengirimkan konten dalam teks biasa dan tidak menyediakan enkripsi data. HTTPS mengamankan HTTP dengan membungkusnya menggunakan Secure Sockets Layer (SSL) atau Transport Layer Security (TLS). SSL/TLS menyediakan fondasi keamanan bagi HTTPS. HTTPS menyediakan otentikasi identitas dan komunikasi terenkripsi, sehingga sangat penting untuk komunikasi web yang sensitif terhadap keamanan, seperti transaksi pembayaran. Saat Anda mengonfigurasi HTTPS pada Alibaba Cloud CDN, Anda harus menyediakan sertifikat untuk nama domain Anda. Sertifikat ini diterapkan ke semua node tepi CDN untuk mengaktifkan transmisi data terenkripsi di seluruh jaringan.

Apa saja jenis serangan HTTP yang umum?

HTTPS hanyalah bagian dari strategi keamanan menyeluruh. Untuk menjamin keamanan jaringan secara penuh, Anda juga perlu menerapkan pertahanan seperti WAF dan Perlindungan DDoS. Berikut ini adalah jenis-jenis serangan HTTP yang umum:

SQL injection: Penyerang menyisipkan perintah SQL berbahaya ke mesin database back-end melalui aplikasi yang sudah ada. Dengan memasukkan pernyataan SQL berbahaya ke formulir web, penyerang dapat mengeksploitasi database situs web yang rentan, memaksanya mengeksekusi perintah yang tidak diinginkan.
Cross-site scripting (XSS): XSS merupakan salah satu metode serangan paling umum dan dasar terhadap aplikasi web. Penyerang memposting data yang berisi kode berbahaya pada halaman web. Ketika pengguna melihat halaman tersebut, skrip tersebut dieksekusi dengan identitas dan izin pengguna, memungkinkan penyerang memodifikasi data pengguna atau mencuri informasi pengguna.
Cross-site request forgery (CSRF): CSRF adalah serangan umum lainnya. Penyerang memalsukan permintaan yang meniru tindakan pengguna, seperti mengirimkan formulir, untuk memodifikasi data pengguna atau melakukan tugas tertentu. Untuk menyamar sebagai pengguna, serangan CSRF sering dikombinasikan dengan serangan XSS, tetapi juga dapat dilakukan dengan cara lain, seperti mengelabui pengguna agar mengklik tautan yang berisi serangan tersebut.
HTTP header injection: Dalam respons HTTP, baris kosong—yang terdiri dari dua pasang karakter CRLF (0x0D 0A)—memisahkan header dari konten. Baris kosong ini menandai akhir header dan awal konten. Penyerang dapat mengeksploitasi hal ini dengan menyisipkan karakter arbitrer ke dalam header.
Serangan pengalihan: Phishing adalah metode serangan umum. Penyerang phishing biasanya mengirim korban tautan yang tampak sah. Saat Anda mengunjungi tautan tersebut, Anda dialihkan ke situs web berbahaya yang dirancang untuk menipu Anda agar mengungkapkan informasi pribadi. Untuk mencegah hal ini, semua operasi pengalihan harus diaudit agar tidak mengarahkan ke lokasi berbahaya. Solusi umum adalah menggunakan daftar putih URL pengalihan yang sah dan menolak semua pengalihan ke domain yang tidak ada dalam daftar tersebut. Solusi lain adalah menambahkan token pengalihan ke URL yang sah, yang kemudian diverifikasi saat pengalihan dilakukan.

Apakah HTTPS hanya diperlukan untuk login website?

Tidak. Pertimbangkan alasan berikut untuk menggunakan HTTPS di seluruh situs Anda:

Keamanan: Saat sebuah situs memiliki campuran halaman HTTP dan HTTPS, memuat resource seperti file JS atau CSS melalui HTTP dapat membocorkan informasi pengguna. HTTPS di seluruh situs merupakan cara paling sederhana untuk mencegah risiko ini.
Kinerja: Saat sebuah situs web menggunakan HTTPS dan HTTP secara bersamaan, pergantian antara keduanya memerlukan banyak pengalihan server, yang dapat memperlambat waktu pemuatan halaman.
Kompatibilitas: Browser memberikan dukungan yang lebih baik untuk HTTPS, dan mesin pencari lebih mengutamakan situs HTTPS dalam peringkat mereka.

Sertifikat apa saja yang perlu saya konfigurasikan untuk HTTPS?

Jika Anda hanya perlu mengenkripsi permintaan dari klien ke node tepi CDN, konfigurasikan sertifikat SSL/TLS hanya pada CDN.

Jika Anda perlu mengonfigurasi akses HTTPS end-to-end, Anda harus mengonfigurasi sertifikat HTTPS baik di CDN maupun di server origin Anda. Untuk informasi lebih lanjut, lihat Apa itu akselerasi HTTPS.

Apakah saya dikenai biaya tambahan untuk mengaktifkan akselerasi HTTPS pada CDN?

Ya. Mengaktifkan akselerasi HTTPS pada CDN mengamankan tautan dari klien ke node tepi CDN. Handshake SSL dan dekripsi konten memerlukan komputasi, yang meningkatkan konsumsi CPU pada server CDN. Namun, hal ini tidak meningkatkan konsumsi resource server origin Anda karena tautan dari node tepi CDN ke server origin Anda tetap menggunakan HTTP.

Jenis sertifikat yang berbeda dikenai biaya tambahan. Anda juga dapat login ke Konsol Certificate Management Service untuk mengajukan sertifikat uji coba (edisi gratis), yaitu sertifikat tingkat DV. Anda dapat mengajukan satu sertifikat uji coba untuk setiap nama domain yang dipercepat. Sertifikat tersebut berlaku selama tiga bulan dan dapat diperpanjang secara otomatis tanpa biaya. Setelah mengonfigurasi sertifikat HTTPS, CDN akan menagih semua permintaan HTTPS untuk domain tersebut.

Apakah permintaan HTTPS tetap ditagih ketika blacklist/whitelist IP atau blacklist User-Agent mengembalikan kode status 403/404?

Ya. Permintaan yang sesuai dengan aturan kebijakan dan mengembalikan kode status 403 atau 404 dianggap telah ditangani dengan sukses dan ditagih sebagai satu permintaan HTTPS. Karena respons tersebut tidak membawa konten resource apa pun, trafik dan tagihannya minimal.

Apakah saya tetap perlu mengonfigurasi HTTPS pada CDN jika server origin saya sudah menggunakan HTTPS?

Ya. HTTPS mengamankan koneksi antara klien dan server. Sebelum Anda menggunakan CDN, klien terhubung langsung ke server origin Anda, sehingga memerlukan HTTPS pada origin. Setelah Anda menambahkan CDN, klien terhubung ke CDN. Oleh karena itu, untuk mengamankan koneksi klien-ke-CDN, Anda harus mengonfigurasi sertifikat HTTPS pada CDN. Untuk petunjuknya, lihat Konfigurasikan sertifikat HTTPS.

Apakah mengaktifkan akselerasi HTTPS mengonsumsi lebih banyak resource atau mengurangi kecepatan akses?

Mengaktifkan HTTPS pada server origin Anda meningkatkan konsumsi resource komputasi dibandingkan dengan HTTP. Peningkatan ini terutama berasal dari enkripsi dan dekripsi asimetris selama handshake HTTPS, dan terutama terasa dalam kondisi konkurensi tinggi. Enkripsi dan dekripsi simetris mengonsumsi resource yang kurang lebih sama dengan HTTP. Oleh karena itu, penting untuk meningkatkan tingkat penggunaan ulang sesi. Namun, mengakses server origin secara langsung melalui HTTPS membutuhkan waktu lebih lama dibandingkan mengaksesnya melalui HTTP.

Saat Anda menggunakan akselerasi dinamis untuk akses HTTPS end-to-end, waktu handshake SSL rata-rata menjadi lebih singkat. Dalam kondisi konkurensi tinggi, tingkat penggunaan ulang sesi pada server origin meningkat secara signifikan, sehingga mengurangi konsumsi resourcenya.

Untuk konten statis: Distribusi di tepi menambahkan sedikit waktu handshake tetapi mengurangi waktu transmisi, sehingga secara keseluruhan mengurangi waktu akses. Karena resource statis tidak memerlukan pengambilan asal, interaksi dengan server origin berkurang, sehingga menurunkan konsumsi resourcenya.
Untuk konten dinamis: Permintaan dinamis harus mengambil konten dari server origin. Menggunakan akselerasi dinamis menyediakan jalur optimal yang lebih terkendali dibandingkan internet publik. Hal ini meningkatkan tingkat penggunaan ulang sesi dan meningkatkan kecepatan transmisi secara keseluruhan. Meskipun enkripsi asimetris yang tidak dapat dihindari meningkatkan konsumsi resource pada server origin, akselerasi dinamis mengoptimalkan konsumsi resource untuk akses HTTPS end-to-end.

Bagaimana cara mengonfigurasi sertifikat HTTPS?

Anda dapat mengonfigurasi sertifikat HTTPS di Konsol CDN. Untuk petunjuk detailnya, lihat Konfigurasikan sertifikat HTTPS.

Mengapa saya tidak dapat menemukan sertifikat yang sudah ada di daftar resource saat menerapkan sertifikat ke domain CDN baru?

Setelah sertifikat wildcard diterapkan ke nama domain CDN lain, sertifikat tersebut tidak dapat dipilih langsung dari daftar sertifikat default untuk domain baru. Anda perlu menerapkannya dengan menggunakan metode unggah di Konsol CDN. Setelah itu, Anda dapat menggunakan fitur penerapan produk cloud di Konsol Certificate Management Service.

Ikuti langkah-langkah troubleshooting berikut:

Verifikasi bahwa nama domain telah ditambahkan ke CDN. Login ke Konsol CDN, buka halaman Nama Domain, dan periksa apakah nama domain target terdaftar. Daftar nama domain terkait di Certificate Management Service hanya menampilkan nama domain yang telah ditambahkan ke CDN. Jika nama domain baru belum ditambahkan, daftarnya akan kosong.
Verifikasi bahwa sertifikat mencakup nama domain yang dipercepat. Sertifikat wildcard (misalnya, *.example.com) dapat mencakup semua subdomain pada level yang sama. Jika nama domain yang terikat pada sertifikat tidak sesuai dengan nama domain yang dipercepat, sertifikat tersebut tidak akan muncul di daftar yang tersedia.
Lakukan operasi dalam urutan berikut: Pertama, konfigurasikan sertifikat HTTPS untuk nama domain di Konsol CDN dengan memilih sertifikat yang sudah ada atau menggunakan unggah kustom. Kemudian, kelola sertifikat melalui penerapan produk cloud di Konsol Certificate Management Service. Fitur penerapan produk cloud di Konsol Certificate Management Service bergantung pada konfigurasi sertifikat di sisi CDN. Anda harus menyelesaikan konfigurasi sertifikat di Konsol CDN terlebih dahulu.
Jika sertifikat wildcard telah diterapkan ke nama domain CDN lain, Anda dapat menggunakannya kembali untuk domain baru dengan metode unggah kustom. Atau, Anda dapat membuat tugas penerapan di Konsol Certificate Management Service untuk menerapkannya ke CDN.

Untuk petunjuk cara mengonfigurasi sertifikat HTTPS, lihat Konfigurasikan sertifikat HTTPS.

Apa yang harus saya lakukan jika muncul error sertifikat duplikat saat mengunggah sertifikat HTTPS?

Saat Anda mengunggah Custom Certificate (Certificate+Private Key), jika sistem melaporkan sertifikat duplikat, ubah nama sertifikat dan unggah kembali.

Bagaimana cara mengunggah sertifikat jika saya memiliki beberapa file .crt dari CA pihak ketiga?

File sertifikat dari otoritas perantara mungkin berisi beberapa sertifikat. Sebelum diunggah, Anda harus menggabungkan sertifikat server dan sertifikat perantara menjadi satu file.

Buka file .pem di editor teks dan tempel konten sertifikat perantara tepat setelah sertifikat server, tanpa baris kosong di antaranya. Otoritas sertifikat biasanya menyediakan petunjuk, jadi pastikan Anda membaca panduan mereka.

Sertifikat yang digabung terlihat seperti ini:

Apa yang harus saya lakukan jika terjadi error saat mengonfigurasi sertifikat HTTPS?

Anda mungkin mengalami berbagai error saat mengunggah sertifikat SSL kustom di Konsol CDN. Jenis error umum meliputi:

Error format sertifikat: CDN hanya mendukung sertifikat berformat PEM. Pastikan konten sertifikat dimulai dengan -----BEGIN CERTIFICATE-----, diakhiri dengan -----END CERTIFICATE-----, dan biasanya memiliki 64 karakter per baris. Jika sertifikat Anda dalam format DER, P7B, atau PFX, Anda harus mengonversinya ke format PEM terlebih dahulu.
Error format kunci privat: Header file kunci privat harus berupa -----BEGIN RSA PRIVATE KEY-----. Jika muncul error format kunci privat, Anda perlu mengonversinya sebelum mengunggah. Selain itu, kunci privat tidak boleh dilindungi kata sandi.
Ketidakcocokan sertifikat dan kunci privat: Sertifikat dan kunci privat yang diunggah harus merupakan pasangan yang cocok. Untuk memeriksa sertifikat RSA, jalankan openssl x509 -noout -modulus -in your_cert.pem | openssl md5 dan openssl rsa -noout -modulus -in your_key.pem | openssl md5 untuk membandingkan nilai modulusnya.
Ketidakcocokan domain sertifikat: Common Name (CN) atau Subject Alternative Name (SAN) pada sertifikat harus mencakup nama domain yang dipercepat. Untuk memeriksanya, jalankan perintah berikut: openssl x509 -in cert.pem -noout -text | grep -A1 "Subject:|Subject Alternative Name"
Sertifikat/kunci terlalu panjang: Periksa apakah rantai sertifikat berisi baris kosong tambahan, karakter tak terlihat, Byte Order Mark (BOM), atau apakah sertifikat CA root secara tidak sengaja disertakan.
Sertifikat kedaluwarsa: Gunakan perintah openssl x509 -in your_cert.pem -noout -dates untuk memeriksa periode validitas sertifikat.

Untuk persyaratan format spesifik dan metode konversi, lihat Format dan Konversi Sertifikat.

Apakah saya perlu memperbarui sertifikat HTTPS di CDN setelah memperbarui sertifikat di server origin saya?

Tidak. Memperbarui sertifikat HTTPS di server origin Anda tidak memengaruhi sertifikat HTTPS di CDN. Anda hanya perlu memperbarui sertifikat HTTPS di CDN saat sertifikat tersebut akan kedaluwarsa atau sudah kedaluwarsa. Untuk petunjuknya, lihat Konfigurasikan sertifikat HTTPS.

Apakah saya perlu mengaktifkan HSTS pada subdomain setelah mengaktifkan opsi includeSubdomains?

Tidak, Anda tidak perlu mengaktifkan HSTS pada subdomain. Setelah Anda mengaktifkan opsi Include Subdomains, kebijakan HSTS berlaku untuk semua subdomain. Pastikan semua subdomain mendukung akses HTTPS, jika tidak, subdomain tersebut akan menjadi tidak dapat diakses.

Mengapa klien masih menggunakan HTTP setelah saya mengonfigurasi HTTPS?

Apakah klien menggunakan HTTP atau HTTPS tergantung pada permintaan mereka. Untuk memaksa semua klien menggunakan HTTPS, aktifkan pengalihan paksa di CDN. Untuk petunjuknya, lihat Konfigurasikan pengalihan paksa.

Mengapa sebagian besar perangkat dapat mengakses domain saya yang dipercepat HTTPS tetapi beberapa tidak bisa?

Masalah ini biasanya terjadi karena CDN mengandalkan Server Name Indication (SNI) untuk memproses permintaan HTTPS. SNI adalah ekstensi TLS yang memungkinkan klien menentukan hostname yang ingin diakses saat memulai koneksi HTTPS.

Namun, beberapa klien lama atau dengan konfigurasi khusus, seperti versi lama Android atau iOS, Java 6 dan sebelumnya, serta beberapa perangkat IoT, mungkin tidak mendukung SNI atau tidak mengirimkan informasi SNI saat membuat permintaan HTTPS. Dalam kasus seperti ini, node tepi CDN tidak dapat menentukan situs yang ingin diakses klien dan oleh karena itu tidak dapat menyediakan sertifikat SSL/TLS yang benar. Hal ini menyebabkan koneksi HTTPS gagal, dan pengguna tidak dapat mengakses konten situs web.

Untuk mengatasi masalah ini, kami merekomendasikan hal berikut:

Perbarui sistem klien: Pastikan sistem operasi dan perangkat lunak Anda mutakhir untuk mendapatkan dukungan SNI.
Perbarui firmware perangkat IoT: Untuk perangkat IoT, periksa dan instal pembaruan firmware terbaru yang disediakan oleh produsen secara berkala.

Bagaimana cara menghapus proteksi kata sandi dari file kunci privat?

Periksa apakah kunci dilindungi kata sandi
Jika Anda yakin bahwa kunci privat Anda dilindungi kata sandi dan mengetahui algoritma enkripsinya, Anda dapat langsung menuju bagian "Hapus proteksi kata sandi" di bawah untuk dekripsi. Jika Anda tidak yakin apakah kunci privat Anda dilindungi kata sandi atau tidak mengetahui algoritma enkripsinya, ikuti langkah-langkah berikut untuk memeriksanya:
1. Untuk kunci privat terenkripsi RSA
  Gunakan OpenSSL untuk menjalankan perintah berikut. Jika kunci privat dienkripsi, OpenSSL akan meminta Anda memasukkan passphrase: Enter pass phrase for <encrypted private key file>:. Jika kunci privat tidak dienkripsi, OpenSSL tidak akan meminta passphrase dan akan menampilkan informasi kunci privat. Jika pesan error dikembalikan, artinya kunci privat tersebut bukan file terenkripsi RSA.
```
openssl rsa -in <encrypted_private_key_file> -text -noout
```
2. Untuk kunci privat terenkripsi ECC/SM2
  Jalankan perintah berikut menggunakan OpenSSL. Jika kunci privat dienkripsi, OpenSSL akan meminta Anda memasukkan kata sandi: Enter pass phrase for <encrypted_private_key_file>:. Jika kunci privat tidak dienkripsi, OpenSSL tidak akan meminta kata sandi dan akan langsung menampilkan informasi kunci privat. Jika muncul pesan error, kunci privat tersebut bukan file terenkripsi ECC atau SM2.
```
openssl ec -in <encrypted_private_key_file> -text -noout
```
Hapus proteksi kata sandi
- Jika algoritma enkripsi sertifikat adalah RSA, jalankan perintah berikut pada komputer yang telah menginstal OpenSSL atau BabaSSL untuk mendekripsi kunci privat.
```
openssl rsa -in <encrypted_private_key_file> -passin pass:<private_key_password> -out <decrypted_private_key_file>
```
- Jika algoritma enkripsi sertifikat adalah ECC atau SM2, jalankan perintah berikut pada komputer yang telah menginstal OpenSSL atau BabaSSL untuk mendekripsi kunci privat.
```
openssl ec -in <encrypted_private_key_file> -passin pass:<private_key_password> -out <decrypted_private_key_file>
```