ユーザーと CDN 間の暗号化されていない HTTP 通信では、セッション ID、Cookie、その他の機密データが盗聴、改ざん、中間者 (MITM) 攻撃にさらされます。HTTPS セキュアアクセラレーションは、配信パス全体に TLS/SSL 暗号化を追加します。高速化ドメイン名に SSL 証明書を設定すると、Alibaba Cloud CDN はクライアントと POP (Point of Presence) 間の通信を暗号化してから、リクエストをオリジンに転送します。
利点
| 利点 | 説明 |
|---|---|
| セキュリティ | 盗聴、改ざん、なりすまし、中間者 (MITM) 攻撃から保護します。セッション ID や Cookie などの機密データを転送中に暗号化し、認証情報の盗難リスクを軽減します。 |
| ユーザーの信頼 | ブラウザは HTTP サイトを「保護されていません」と表示します。HTTPS を使用することで、この警告が表示されなくなります。 |
| 検索ランキング | 主要な検索エンジンは、HTTPS 対応の Web サイトに高い評価を与えます。Web サイトで HTTPS を有効にすると、検索エンジンの結果でより高いランキングを獲得できます。 |
仕組み
HTTPS アクセラレーションは、2 つの接続セグメントを独立して暗号化します。
-
クライアントから POP まで：クライアント (ブラウザ) は、最も近い CDN POP との TLS 接続を確立します。POP は、高速化ドメイン名に設定された SSL 証明書を提示します。
-
POP からオリジンまで：POP はリクエストをオリジンに転送します。HTTPS によるオリジンフェッチを設定すると、このセグメントもエンドツーエンドで暗号化されます。
次の図は、エンドツーエンドの全体的なフローを示しています。
HTTPS セキュアアクセラレーションは付加価値サービスです。有効にすると、基本的な CDN サービスと HTTPS リクエストの両方に対して課金されます。料金の詳細については、「静的コンテンツの HTTPS リクエストの課金」をご参照ください。
SSL/TLS 証明書
SSL (Secure Sockets Layer) は、TCP/IP プロトコルスタックとアプリケーション層プロトコルの間に位置します。これにより、クライアントは接続先サーバーの ID と整合性を検証し、暗号化されたチャネルを介してデータを交換できます。Internet Engineering Task Force (IETF) は、SSL を Transport Layer Security (TLS) という名前で標準化したため、このプロトコルは現在 SSL/TLS と呼ばれています。
SSL 証明書は、認証局 (CA) によって発行される認証情報です。CA が発行した証明書は、ドメインの ID を認証し、暗号化ハンドシェイクを可能にします。
HTTPS セキュアアクセラレーションの有効化
前提条件
開始する前に、次のものが必要です。
-
Alibaba Cloud CDN コンソールで設定された高速化ドメイン名
-
高速化ドメイン名の PEM 形式の SSL 証明書
-
(エンドツーエンド暗号化の場合) オリジンサーバーにインストールされた SSL 証明書
PEM 形式の証明書のみがサポートされています。証明書を別の形式から変換するには、「証明書形式の変換」をご参照ください。
ステップ 1： 証明書の取得
要件に適したオプションを選択してください。
| オプション | 使用するタイミング |
|---|---|
| 無料の個人テスト証明書 | 開発とテスト |
| Certificate Management Service の証明書 | ドメインの証明書を購入する場合 |
| サードパーティ CA の証明書 | 既存の CA 関係または特定のコンプライアンス要件がある場合 |
証明書を取得するには、Certificate Management Service コンソールを開きます。証明書形式の要件については、「証明書形式」をご参照ください。
ステップ 2： ドメインに対する SSL 証明書の設定
高速化ドメイン名に SSL 証明書を設定して、クライアントと POP 間の HTTPS を有効にします。詳細な手順については、「SSL 証明書の設定」をご参照ください。
ステップ 3： (オプション) エンドツーエンド暗号化の有効化
デフォルトでは、クライアントから POP までのセグメントのみが暗号化されます。POP からオリジンまでのセグメントも暗号化するには、オリジンサーバーに SSL 証明書を設定し、オリジンプロトコルを HTTPS に設定します。手順については、「オリジンプロトコルポリシーの設定」をご参照ください。
HTTPS によるオリジンフェッチを有効にする前に、オリジンサーバーが HTTPS をサポートしていることを確認してください。
ステップ 4： (オプション) 追加の HTTPS 機能の設定
HTTPS を有効にした後、次の機能を使用してセキュリティ体制を強化したり、プロトコルのパフォーマンスを向上させたりできます。
| カテゴリ | 機能 | 説明 |
|---|---|---|
| プロトコルリダイレクト | URL リダイレクトの設定 | クライアントから POP への HTTP リクエストを 301 リダイレクトを使用して HTTPS にリダイレクトします。または、必要に応じて HTTPS を HTTP にダウングレードします |
| HSTS の設定 | ブラウザに HTTPS のみで接続するよう指示し (HTTP Strict Transport Security (HSTS))、Cookie ハイジャックのリスクを軽減します | |
| プロトコルバージョン | HTTP/2 の設定 | HTTP/2 を有効にします。これにより、バイナリフレーミング、多重化、ヘッダー圧縮がサポートされ、レイテンシが削減されます |
| TLS バージョンと暗号スイートの設定 | POP が受け入れる TLS バージョンと暗号スイートを制限し、リンクレベルのセキュリティ要件を満たします | |
| 証明書検証 | OCSP ステープリングの設定 | POP が証明書ステータス応答をキャッシュして提供するため、ブラウザは CA の検索をスキップでき、TLS ハンドシェイク時間が短縮されます |