Nginx with SSL

因为有了StartSSL 这样的可以免费申请SSL证书的机构，所以我觉得把自己的一些站点放到https 下还是值得去做了的。（至少，总还是会有一部分人会对在非SSL加密下的登录页面感到不舒服吧）

SSL 的性能问题

SSL 增强了安全，但它有些问题。它会导致服务器的资源消耗比http 大（但对现在一般的机器来说似乎已经不再是个问题了）。很多情况下人们对于https 的链接还是有一个感觉——慢，准确点来说应该是初次连接到服务器时会感觉慢，而一旦连接建立后，速度上感觉是与明文的http相差无几的。这主要是因为本地浏览器与服务器端初次建立连接握手时需要进行（非对称）密钥交换，密钥交换的协议和密钥的加密算法、长度都会对这个时间有影响。但是连接建立后，内容是以密钥长度短得多的对称加密的方式在传输，而且现代的浏览器同样也能对https链接的内容进行缓存等操作，所以也就感觉不到什么差别了。

因为慢，所以要对它作些调节。但知道了原因后也就好办了。

  • 密钥交换协议的选择。可以在Nginx 配置文件的ssl_ciphers 指令中添加“!kEDH”禁用先对耗时更长的DH 密钥交换机制，而使用RSA【1】。从1.0.5 版本开始，Nginx 默认的SSL ciphers是“HIGH:!aNULL:!MD5”，我们可以把它改为“HIGH:!aNULL:!MD5!kEDH”。应该看到如下变化：


使用DHE_RSA 进行key 交换

更改后的使用RSA key交换机制

  • 服务器公钥长度的选择。长度越长的服务器公钥一般来说是越安全的，但建立连接的时间也会越长，所以这就需要作些取舍了。像Google 和Facebook 这两家规模巨大但提供了许多全程加密的web 服务的公司就使用了相对“弱”的1024位公钥（openssl s_client -connect domain.com:443 查看），这也许降低了建立连接的安全性，但更重要的是降低了连接建立时间。（BTW，Google 还在传输过程中对Chrome 浏览器使用了比HTTP 更快的SPDY 协议，并且key exchange 机制也是RSA 的。）

其它还有要注意的地方有服务器ssl_session_cache, ssl_session_timeout, keepalive_time 等指令的使用等。

——

一些有用的链接：

【1】. http://matt.io/technobabble/hivemind_devops_alert:_nginx_does_not_suck_at_ssl/ur

http://nginx.org/en/docs/http/configuring_https_servers.html

http://www.imperialviolet.org/2010/06/25/overclocking-ssl.html

http://blog.httpwatch.com/2011/01/28/top-7-myths-about-https/

http://blog.httpwatch.com/2009/01/15/https-performance-tuning/