网站如何防止流量劫持

柠檬没成精

流量劫持总体来说属于中间人攻击的一种，本质上攻击者在通信两端之间对通信内容进行嗅探和篡改，以达到插入数据和获取关键信息的目的。目前互联网上发生的流量劫持基本是两种手段来实现的:

域名劫持：通过劫持掉域名的DNS解析结果，将HTTP请求劫持到特定IP上，使得客户端和攻击者的服务器建立TCP连接，而非和目标服务器直接连接，这样攻击者就可以对内容进行窃取或篡改。在极端的情况下甚至攻击者可能伪造目标网站页面进行钓鱼攻击。

直接流量修改：在数据通路上对页面进行固定的内容插入，比如广告弹窗等。在这种情况下，虽然客户端和服务器是直接建立的连接，但是数据内容依然可能遭到野蛮破坏。

能够实施流量劫持的根本原因，是HTTP协议没有办法对通信对方的身份进行校验以及对数据完整性进行校验。如果能解决这个问题，则流量劫持将无法轻易发生。

HTTPS如何防止劫持

HTTPS，是HTTP over SSL的意思，提到HTTPS就不得不先简单描述一下SSL/TLS协议。

SSL协议在HTTP请求开始之前增加了握手的阶段，在SSL握手阶段，客户端浏览器会认证服务器的身份，这是通过“证书”来实现的，证书由证书权威(CA)为某个域名签发，可以理解为网站的身份信息，客户端需要对这个**进行认证，需要确定该证书是否属于目标网站并确认证书本身是否有效。最后在握手阶段，通信的双方还会协商出一个用于加密和解密的会话密钥。

SSL握手阶段结束之后，服务器和客户端使用协商出的会话密钥对交互的数据进行加密/解密操作，对于HTTP协议来说，就是将HTTP请求和应答经过加密之后再发送到网络上。

由此可见，因为SSL协议提供了对服务器的身份认证，所以DNS劫持导致连接错误服务器的情况将会被发现进而终止连接，最终导致DNS挟持攻击无法实现。此外SSL协议还提供数据的加密和完整性校验，这就解决了关键信息被嗅探以及数据内容被修改的可能。

如何部署HTTPS

要将网站进行HTTPS支持以达到防劫持的效果，首先需要的是为网站的域名申请SSL证书。这个证书必须是由知名CA所签发的，这是因为知名CA的根证书广泛的存在于大多数浏览器和操作系统中，因此可以被客户端用来校验网站证书是否合法。

安信SSL证书（https://www.anxinssl.com/）专售Symantec、GeoTrust、Comodo以及RapidSSL等多家全球权威CA机构的SSL数字证书，SSL证书种类齐全，而且提供免费安装、免费重签、30 天无条件退款等服务。

CA机构通过对网站机构以及域名所有权进行严格的书面审查审核，通过审核之后通过颁发部署服务器证书(SSL/TLS证书)形式标识证书网站及网站机构，让互联网用户直接了解拥有该网站的企业真实身份，强化对该站的信任感。同时，服务器证书建立网站和用户之间的安全传输通道，在已部署SSL/TLS证书的网站无论提交的是任何方面的隐私信息都将被加密后安全传输。