SLY_G 8 мар 2015 в 17:42

TLS в HTTP/2

3 мин

19K

Информационная безопасность *

Перевод

+20

Комментарии 23

achekalin 8 мар 2015 в 21:23

Интересно, а какие это сервера упоминаются во фразе

> Большинство существующих серверов поддерживают HTTP/2 через TLS

Проще говоря, где поддержка HTTP/2 уже реализована и стабильна? По мне, автор говорит таким образом, что откуда-то внезапно возникло «большинство» (т.е. минимум 51%) существующих HTTP-серверов, которые имеют уже реализацию HTTP/2.

Wikipedia (которая, конечно, не абсолютное знание, но все же) говорит en.wikipedia.org/wiki/HTTP/2#HTTP.2FHTTPS_servers не так громко: получается, что 51% там далеко еще нет. github.com/http2/http2-spec/wiki/Implementations о том же в общем, только там и драфты учтены…

PsyHaSTe 9 мар 2015 в 23:04

Я прокэпствую, что имелось ввиду

Большинство существующих серверов при работе по протоколу HTTP/2 работают только через TLS

я изначально так и прочитал, имхо немного некорректно перевели

Most existing servers only speak HTTP/2 over TLS.

Magistr_AVSH 8 мар 2015 в 21:28

Можете пояснить в чем разница между SPDY и HTTP/2? Я так понимаю SPDY был лишь промежуточной стадией, пока разрабатывался HTTP/2, но по какой-то причине он довольно сильно распространился, а теперь его работу сворачивают.

shifttstas 8 мар 2015 в 22:17

гм SPDY практически = HTTP/2

VBart 9 мар 2015 в 09:56

Видимой разницы для конечного пользователя (я имею в виду как пользователя интернета, так и администраторов веб-сайтов) — нет. Для разработчика веб-серверов — требуется потратить еще n человеко-месяцев своего времени на реализацию кастомного алгоритма сжатия заголовков и чрезвычайно переусложненного механизма приоритизации (на практике все это может дать в лучшем случае ~1-2% приемущества по сравнению со SPDY).

tangro 9 мар 2015 в 11:23

Гугл начал в одиночку пилить SPDY. Потом все увидели, что получается круто и форкнули третью версию SPDY, назвав это «черновик HTTP/2». С этого времени Гугл продолжил пилить SPDY 4, а комитет по стандартизации HTTP/2 — его версию 1.0. Потом Гугл выпустил четвертую версию SPDY, а те ребята — свой драфт HTTP/2 (не помню версию). Гугл посмотрел, что оно практически одинаково и сказал «ну ладно, черт с вами, давайте назовём наш SPDY 4 вашим именем HTTP/2». С этого момента Гугл больше не вкладывался в SPDY как в собственный протокол, но помогал разработчикам HTTP/2 довести его до ума.

НЛО прилетело и опубликовало эту надпись здесь

aleks_raiden 8 мар 2015 в 22:51

Но почему-то именно тому рядовому пользователю те самые 0.5 секунды и нужны и важны — и об этом говорит упрямая статистика :)

НЛО прилетело и опубликовало эту надпись здесь

esc 9 мар 2015 в 08:14

Ну так пообщайтесь с незавсимыми владельцами крупных ресурсов, чтобы они рассказали о том, как на посещаемость и совершаемые действия влияют те самые 0.5 сек при каждой смене страницы. Потом говорите про диалпап и никто не умирал. Не умирал конечно, но тогда и активность была совсем иной и к конкурентам с лучшей скоростью особо не убежишь.

НЛО прилетело и опубликовало эту надпись здесь

Sov1et 8 мар 2015 в 23:54

Угу, всё правильно. Верните мне IE6 и одностраничные сайты – их так просто писать, легко дебажить, куча док и прочее.

НЛО прилетело и опубликовало эту надпись здесь

surefire 9 мар 2015 в 08:04

6. Есть. Криптонеты прибили на гвозди адрес к закрытому ключу.

В случае компрометации ключа менять адрес?
Сколько серьёзных проектов согласятся на такое?

J_o_k_e_R 9 мар 2015 в 11:42

Чтобы получить сертификат нужно иметь домен, свой, второго уровня. Это тоже платная услуга.

Это не так. Вполне можно и домен третьего уровня, технически можно и IP-адрес.

НЛО прилетело и опубликовало эту надпись здесь

MyHabrahabr 9 мар 2015 в 12:18

Чтобы получить сертификат нужно иметь домен, свой, второго уровня. Это тоже платная услуга.

Даже на субдомен GitHub-а можно получить, бесплатно и без СМС :).

Скрытый текст

motienko 4 янв 2017 в 20:09

4. Не шифруйте, HTTP/1.1 в нашей жизни точно никуда не денется.

Браузеры решили, что нешифрованого трафика быть не должно… Весной 2017 будет весело

grossws 10 мар 2015 в 14:26

HTTP/1.1 — будет жить ещё очень долго по очевидным причинам:
1. Его оч легко реализовать
2. Легко дебажить
3. Не требуется никаких сертификатов
4. Офигенная гора кода и доков
5. Есть почти везде

Вы смеётесь или просто не знаете о чём речь?

Для этого «легко реализовать» надо сначала прочитать и понять более 600 страниц спецификаций в полутора десятках RFC.

Это «легко дебажить» требует, как минимум wireshark/curl (стоит помнить, что существуют content-encoding/content-transfer-encoding: deflate/gzip, chunked, base64 и тому подобные радости).

Это «есть почти везде» мало где реализовано полностью, т. к. слишком дофига надо реализовать. В случае встроенных применений обычно реализуется некоторое небольшое подмножество, больше похожее на HTTP/1.0. Более-менее полноценная же реализация обычно берется библиотекой. И принципиальной разницы для разработчика конечного софта уже нет.

НЛО прилетело и опубликовало эту надпись здесь

Sov1et 8 мар 2015 в 23:53

del

DimaSmirnov 9 мар 2015 в 07:44

Недавно задавался данным вопросом, вот тут описание dsmirnov.pro/post/nginx-https-tls/ — а тут результаты spdycheck.org/#dsmirnov.pro и тут www.ssllabs.com/ssltest/analyze.html?d=dsmirnov.pro

Зарегистрируйтесь на Хабре, чтобы оставить комментарий