是否可以通过HTTPS运行所有网络流量？

Question

我正在考虑将所有网络流量转移到HTTPS需要（技术上）。我认为计算机变得越来越快，越来越快，所以从现在起一段时间内，可以通过HTTPS运行所有流量而不会产生任何明显的成本。

但是，我认为，加密强度将不得不发展以抵御安全性的损失。如果计算机速度提高10倍，则加密速度必须提高10倍，否则容易破解10倍。

那么，我们是否能够免费加密所有网络流量？

编辑：我只询问计算与加密性能提升的逻辑。如果我们可以在20年内使用相同的加密算法和密钥，它们将占用服务器（或客户端）总体计算容量的更低百分比，并且实际上，这将使其“免费”加密和签署所有内容我们通过网络传输。

Answer 1

使用HTTPS的一个主要问题是它被认为是安全的，因此大多数Web浏览器不进行任何缓存，或者至少进行非常有限的缓存。

如果没有缓存，您会注意到HTTPS页面加载速度明显变慢，而非加密页面会加载。

应使用HTTPS来保护敏感信息。

我不知道通过SSL运行所有内容对CPU的影响。我会说在客户端，CPU不是问题，因为大多数工作站大部分时间都处于空闲状态。由于正在处理的并发请求数量很大，大型程序将在Web服务器端。

为了达到SSL基本上“免费”的程度，您必须拥有专用的加密硬件（现在已经存在）。

编辑：根据评论，该问题的作者建议这是他正在寻找的答案：

  

使用crypto已经相当快了，   特别考虑到我们是   使用CPU周期与数据   传输。加密密钥不需要   变得更长。我不认为有   任何技术原因都是这样的   不切实际的。    - David Thornley

更新：我刚刚读到Google's SPDY protocol（旨在替换HTTP），看起来它会在每个连接上使用SSL。所以，看起来Google认为这是可能的！

  

使SSL成为底层传输   协议，以提高安全性和   与现有网络的兼容性   基础设施。虽然SSL确实如此   引入延迟惩罚，我们   相信长远的未来   网络取决于安全的网络   连接。另外，使用   SSL是确保这一点所必需的   跨现有代理的通信   没有坏。

Answer 2

Chris Thompson提到了浏览器缓存，但这很容易在浏览器中修复。将所有内容切换到HTTPS的不可修复的是代理缓存。由于HTTPS是端到端加密的，因此透明的HTTP代理不起作用。透明代理有很多地方可以加快速度（例如在NAT边界）。

处理丢失透明代理所带来的额外带宽可能是可行的 - 据称，与p2p相比，HTTP流量是微不足道的，因此透明代理并不是保持互联网在线的唯一因素。它会不可逆转地达到延迟，并且使得斜线比目前更糟糕。但随后云托管，这些都可能由技术处理。当然，“安全服务器”与云托管具有不同的含义，甚至与网络上的其他形式的内容分散，如akamai。

我认为CPU开销并不重要。当然，如果您的服务器当前至少在某些时候受到CPU限制，那么将所有流量从HTTP切换到HTTPS都会导致它死机。有些服务器可能会认为HTTPS不值得处理负载的CPU的金钱成本，并且它们将阻止所有人采用它。但我怀疑这将是一个长期的主要障碍。例如，谷歌已经越过它，并愉快地提供应用程序（虽然不是搜索）作为https毫不费力。并且每个连接的服务器工作量越多，SSL连接所需的额外工作就越少。必要时，SSL可以并且是硬件加速的。

还有管理/经济问题，HTTPS依赖于受信任的CA，而受信任的CA则需要花钱。除了SSL实际使用的PKI之外，还有其他方法可以设计PKI，但SSL的工作原理是有效的。例如，SSH将责任放在用户身上，以便通过安全的侧通道从服务器获取密钥指纹，并this is the result：某些用户不认为出于安全目的，这种不便程度是合理的。如果用户不想要安全性，那么他们就不会得到它，除非他们无法避免它。

如果用户只是为不受信任的SSL证书自动点击“接受”，那么你几乎可能没有它，因为这些天中间人攻击并不比普通的窃听困难得多。所以，同样，有一大堆服务器在支付（工作）HTTPS方面并不感兴趣。

Answer 3

1. 加密不需要增加10倍，因为您不需要再多使用10倍的位。随着密钥长度的增加，强力破裂的难度呈指数增长。最多关键长度必须稍长一些。
2. 通过SSL运行所有流量有什么意义，即使显然没有优势的东西呢？这看起来非常浪费。例如，通过SSL下载Linux发行版似乎很荒谬。

Answer 4

现在成本不是很高。

另外......如果计算机的速度提高了10倍，则无需更改加密。 AES（SSL的常见加密）非常强大，可能需要很长时间才能中断。

Answer 5

有可能吗？是 这是可取的吗？ NO

有几个原因。

• 服务器和客户端上的额外cpu周期将使用更多的功率，这会产生成本和排放
每个服务器都需要
• ssl证书
• 加密不需要隐藏的数据是没用的

Answer 6

IMO，答案是否定的。这样做的主要原因是，如果您考虑有多少页面包含来自多个来源的项目，每个页面必须使用https并拥有一个我认为不适用于某些大公司的有效证书他们的链接。

这不是一个坏主意，也许某些Web x.0默认会有更安全的通信，但我不认为http会是那个协议。

举几个例子，虽然我来自加拿大可能影响这些网站的呈现方式：

www.msn.com：

• atdmt.com
• s-msn.com
• live.com

www.cnn.com：

• revsci.net
• cnn.net
• turner.com
• dl-rms.com

这些是通过“NoScript”列出的，其中注意到此页面的代码来自“google-analytics.com”和“quantserve.com”，除了stackoverflow.com之外，还有第三个例子。

Answer 7

与https的主要区别在于会话保持打开状态，直到您关闭它。使用会话cookie可以节省很多麻烦，但会给服务器带来负担。

发送查询后Google应该将https会话保持多久？

您想要与每个弹出式广告建立持久连接吗？