聊聊浏览器里的那把锁：HTTPS 如何让你安全冲浪？( 五 ) 多年以前

唯一的漏网之鱼来自于 SNI（Server Name Indication ，服务器名称指示）。客户端向服务端发起请求的时候，会表明自己想要访问的网站。例如，前面的例子中，你向少数派问候时：
我需要访问私信
而少数派则回复：
给你私信网站的证书（一个文件袋）
这是因为，同一台服务器上，可能部署了多个子网站（例如可能私信、文章区分了不同的子域名，但是部署在同一个服务器上），那么就需要客户端指明所需访问的网站，服务器才可以给出合适的证书。
例如， sspai.com 或者 ditu.baidu.com 这样的域名依然通过「明信片」的形式发送，邮差们可以随意查看。但是，/message/2hzb91qd 这样表明「查看某条私信」的具体操作，则是安全的。
这也为基于 HTTPS 的网络通信过滤提供了方便。前面所说的访问统计、网站拦截、隐私追踪，很大一部分都是靠的 SNI 这个参数。但是就像前述例子中所述， SNI 仅提供域名，而 URL 地址包含在加密的 HTTP 消息中，因此追踪也相对有限。
事实上，现在也有技术来保护 SNI 的安全，例如 ESNI 和后来演变成的 ECH 都是非常有效的尝试。
你可以做些什么
基于前面的讨论，我们可以思考如何更安全地在互联网上浏览。
从一开始就使用 HTTPS
对于支持 HTTPS 的网站，大部分都对 HTTP 进行了跳转。举例来说，当你访问少数派网站时，如果直接在浏览器中输入 sspai.com 就敲下回车键，那么浏览器会自动跳转到 http://sspai.com 而不是 HTTPS 站点。而少数派网站在收到 HTTP 请求后，会告诉你：我改地址了，请使用 HTTPS 访问。
致少数派：我需要访问首页，这是我的个人信息
答复：我换地方了，请使用 https://sspai.com/ 重新访问
于是，你重新发起了一次聊天，这次，你使用了 HTTPS 。
这里有很明显的问题，当你使用 HTTP 访问时，你已经把你需要访问的内容（少数派首页）、你的个人信息，都以「明信片」的形式交给了邮差。虽然少数派提醒了你需要更换地址并拒绝给予任何有实际意义的答复，但是这之前已经稍许泄露了信息。
所以最好的做法是，当你访问网站时，直接输入： https://sspai.com 而不要偷懒让浏览器自动去跳转。
绝对不要信任不可靠的证书
这些行为包括：
有些银行网站，会让你提前安装「网银助手」，其中一步就是「把银行自己的证书安装到系统中」。这其实并不安全。不过现在这样做的银行已经越来越少了。
遇到证书过期、域名不匹配、信任链存在瑕疵的证书时，浏览器会给予全屏提示。此时虽然有小字可以点击「继续访问」，但是非常不推荐此时继续输入敏感信息。
为自己的网站加上 HTTPS
如果你拥有自己的个人网站或者博客，那么你一定要配置一下 HTTPS 证书。我经常使用 Let's Encrypt 提供的免费证书，借助 Certbot 这个一键配置工具，简单几行命令就可以一劳永逸地配置完成。
Let's Encrypt 的证书有效期只有三个月，但是 Certbot 提供了自动续期的功能，有效期将近时会自动更新服务器上所有托管的证书。
【聊聊浏览器里的那把锁：HTTPS 如何让你安全冲浪？】来源：少数派