Aceleração segura HTTPS

Contexto

Como o Hypertext Transfer Protocol (HTTP) transmite conteúdo em texto simples e não fornece criptografia de dados, as informações podem ser facilmente interceptadas e lidas durante a transmissão.

Visão geral

O ApsaraVideo Live oferece suporte à aceleração segura HTTPS e ao redirecionamento forçado. Para utilizar o redirecionamento forçado, configure primeiro um certificado HTTPS.

HTTPS:

O Hypertext Transfer Protocol Secure (HTTPS) é a versão segura do HTTP. Diferentemente do HTTP, que transmite conteúdo em texto simples, o HTTPS utiliza o protocolo Secure Sockets Layer (SSL)/Transport Layer Security (TLS) para encapsulamento. A segurança do HTTPS baseia-se no SSL/TLS.

O HTTPS fornece verificação de identidade e comunicação criptografada, sendo amplamente utilizado para comunicações seguras na World Wide Web. Segundo um relatório de 2017 da Electronic Frontier Foundation (EFF), mais da metade de todo o tráfego web mundial já utiliza criptografia HTTPS.

Redirecionamento forçado:

Este recurso redireciona as solicitações do cliente para pontos de presença (POPs) via HTTP ou HTTPS.

Ao ativar a aceleração segura HTTPS para um nome de domínio acelerado, defina configurações personalizadas para forçar o redirecionamento das solicitações dos usuários finais. Por exemplo, após ativar a opção Enable HTTPS, se um usuário final iniciar uma solicitação HTTP, o servidor retornará um redirecionamento 301 para HTTPS, conforme mostrado no exemplo a seguir:

$ curl http://xxx xxx xxx/' -i
HTTP/1.1 301 Moved Permanently
Server: Tengine
Date: Mon, 03 Jun 2019 13:26:01 GMT
Content-Type: text/html
Content-Length: 278
Connection: keep-alive
Location: https://xxx xxx xxx/
Via: cache2.cn201[,0]
Timing-Allow-Origin: *
EagleId: 2a786b0215595683612635433e
&lt;!DOCTYPE HTML PUBLIC &quot;-//IETF//DTD HTML 2.0//EN&quot;&gt;
<html>
<head><title>301 Moved Permanently</title></head>
<body bgcolor="white">
<h1>301 Moved Permanently</h1>
<p>The requested resource has been assigned a new permanent URI.</p>
<hr/&gt;Powered by Tengine</body>
</html>

Funcionamento

Ao ativar o HTTPS no console do ApsaraVideo Live, as solicitações entre os clientes e os nós do ApsaraVideo Live são criptografadas via HTTPS. Quando um nó do ApsaraVideo Live recupera um recurso do servidor de origem para devolver ao cliente, o protocolo usado na conexão com o servidor de origem depende da configuração desse servidor. Recomendamos configurar e ativar o HTTPS no seu servidor de origem para implementar criptografia HTTPS de ponta a ponta.

O cliente inicia uma solicitação HTTPS.
O servidor gera uma chave pública e uma chave privada. Crie o par de chaves manualmente ou obtenha-o por meio de uma organização especializada.
O servidor envia o certificado de chave pública ao cliente.
O cliente verifica o certificado.
- Se o certificado for válido, o cliente gera um número aleatório (chave). Em seguida, o cliente usa a chave pública para criptografar esse número aleatório e o envia ao servidor.
- Caso o certificado seja inválido, o handshake SSL falha.
Nota
A validade inclui os seguintes critérios:
- O certificado não expirou.
- A autoridade certificadora (CA) que emitiu o certificado do servidor é confiável.
- A chave pública do emissor consegue decifrar corretamente a assinatura digital no certificado do servidor.
- O nome de domínio no certificado do servidor corresponde ao nome de domínio real do servidor.
O servidor utiliza sua chave privada para decifrar a mensagem e obter o número aleatório (chave).
O servidor usa a chave para criptografar os dados antes da transmissão.
O cliente utiliza a chave para decifrar os dados criptografados recebidos do servidor e ler o conteúdo.

Benefícios

Transmissão segura: O HTTPS protege a transmissão de dados e previne eficazmente riscos associados ao HTTP em texto simples, como espionagem, adulteração, falsificação de identidade e sequestro de sessão.
Criptografia de informações: Dados críticos são criptografados durante a transmissão, evitando vazamentos de informações sensíveis que podem ocorrer caso um ID de sessão ou cookie seja capturado.
Integridade de dados: A integridade dos dados é verificada durante a transmissão para impedir ataques man-in-the-middle (MITM), como sequestro ou adulteração de DNS e de conteúdo.
Padrão do setor: Os principais navegadores sinalizam o HTTP como inseguro, o que afeta a experiência do usuário e a segurança de acesso. O HTTPS é o padrão do mercado, oferece suporte a HTTP/2, melhora o posicionamento em mecanismos de busca e aprimora a experiência do usuário.

Recomendamos fortemente atualizar seu protocolo de acesso para HTTPS a fim de melhorar a segurança e a experiência do usuário.

Como usar

Para acessar recursos via HTTPS e ativar a aceleração segura, configure um certificado HTTPS. Para mais informações sobre certificados, consulte Formatos de certificado.

Configure a aceleração segura HTTPS no console do ApsaraVideo Live ou chamando uma operação de API.

Para usar o console, consulte Configurar aceleração segura HTTPS.
Para usar uma API, chame a operação SetLiveDomainCertificate para definir o certificado do nome de domínio.

Operações de API relacionadas:

Operação de API	Descrição	Referências
SetLiveDomainCertificate	Ativa ou desativa o recurso de certificado para um nome de domínio e modifique as informações do certificado.	Definir um certificado de nome de domínio
DescribeLiveCertificateList	Consulta uma lista de certificados.	Consultar uma lista de certificados
DescribeLiveCertificateDetail	Consulta os detalhes de um certificado.	Consultar informações do certificado
BatchDeleteLiveDomainConfigs	Exclua as configurações de vários nomes de domínio simultaneamente.	Excluir configurações de nome de domínio em lote

Redirecionamento forçado

Importante

Antes de configurar o redirecionamento forçado, certifique-se de que um certificado HTTPS esteja configurado.

Configure o redirecionamento forçado no console do ApsaraVideo Live ou chamando uma operação de API.

Para usar o console, consulte Configurar redirecionamento forçado.
Para usar uma API, chame a operação BatchSetLiveDomainConfigs para configurar o redirecionamento forçado.

Operações de API relacionadas:

Operação de API

Descrição

Referências

BatchSetLiveDomainConfigs

Configure vários nomes de domínio simultaneamente.

Configure o redirecionamento forçado HTTPS usando o registro https_force no parâmetro Functions.

Configurar nomes de domínio em lote

Observações

Configuração	Descrição
Disable e Enable HTTPS	Se você optar por Disable HTTPS, as solicitações HTTPS deixarão de ser suportadas e as informações do certificado e da chave privada serão excluídas. Ao escolher Enable novamente para o certificado, reenvie o certificado e a chave privada.
Enviar certificado/chave privada	Para um nome de domínio acelerado com a opção Enable HTTPS ativada, envie um certificado e uma chave privada. Ambos devem estar no formato PEM. Nota O ApsaraVideo Live utiliza o serviço Tengine, baseado em Nginx. Portanto, apenas certificados no formato PEM compatíveis com o Nginx são suportados. Somente handshakes SSL/TLS que incluem informações de Server Name Indication (SNI) são suportados. O certificado e a chave privada enviados devem corresponder entre si. Caso contrário, a verificação falhará. Um certificado atualizado leva uma hora para entrar em vigor. Chaves privadas protegidas por senha não são suportadas.
Visualize certificado	Visualize um certificado. No entanto, a chave privada não pode ser visualizada pois contém informações sensíveis. Mantenha as informações do seu certificado seguras.
Modifique ou edite certificado	Modifique ou edite um certificado. Observe que um certificado atualizado leva uma hora para entrar em vigor. Proceda com cautela.