HTTPS要比HTTP多用多少服务器资源

2019-11-08 12:51:46

开启SSL会增加内存、CPU、网络带宽的开销，后二者跟你使用的ciphersuite密切相关，其中参数很多，很难一概而论。开启SSL的前提是你的cert和key必须放在TCPendpoint，你是否信得过那台设备？SSL开销来自于两部分，handshake和bulkencryption。对于性能，前者金狮贵宾会登录网址关注handshakes/s，后者关注MiB/s。先说比较简单的bulkencryption，首先由于padding和MAC，消息会变长，增加一些网络带宽。其次，bulkencryption和MAC会增加CPU使用，具体跟所使用的加密算法和MAC算法有关，如果用AES，也跟CPU是否支撑AESNI指令有关。如果用常见的AES-256-CBC+SHA1组合，单个CPUcore就能轻松打满千兆网带宽。（AES128vs.AES256和SHA1vs.SHA256还有细微差别，但透过千兆网就不一定能看出来了，不过3DES要慢得多。）另外，如果用GCM代替CBC，会节约一些带宽（省了MAC），但会增加CPU开销。测试bulkencryption的性能是比较容易的。再说handshake，这里边水比较深。开销主要取决于keyexchange算法。这里暂且只考虑流行的2048bitRSAkey，不考虑新潮的ECDSA。首先，你要决定是否采用forwardsecrecy，即如果有人录下你今天的traffic，将来再搞到了你的privatekey，他是否能追溯解密以往的消息。这决定了是RSAkeyexchange还是ECDHERSAkeyexchange。（这里就不考虑慢得多的DHEkeyexchange了。）单从性能方面考虑，RSAkeyexchange比ECDHERSAkeyexchange快。大体上一秒钟能做几百上千次handshake，比TCP三路握手慢很多。如果你用ECDHE，注意选secp256r1/secp224r1等曲线，而不是更慢的secp521r1。还有，对于ECDHE，“每次handshake用新的key（SSL_OP_SINGLE_ECDH_USE）”与“进程启动时产生一个key反复使用”也会有细微的性能差别。如果你要贴benchmark的对比结果，一定要把各个参数细节指明，否则没有参考意义。ECDHERSAkeyexchange比RSAkeyexchange的总运算量大，但分配在服务端和客户端的比例不及后者悬殊。RSAkeyexchange中，抛开cert验证，客户端耗CPU的操作是RSApublickeyencrypt，而服务端需要做RSAprivatekeydecrypt，后者要慢几倍。ECDHERSAkeyexchange中，客户端和服务端都要做ECkeygeneration和scalarmultiplication，运算量相当，区别在于服务端还要做RSAsignwithprivatekey，客户端只要RSAverifywithpublickey，总体来看，服务端的运算量略大。也就是说两种keyexchange策略handshake产生的CPU负载在服务端和客户端的分配比例差别较大。总之，你需要找一位安全顾问，不然一个轻微的配置失误也许就葬送了增强安全的全部努力。金狮贵宾会登录网址不是专家，以上文字算是金狮贵宾会登录网址的笔记吧。《Everythingyouneedtoknowaboutcryptographyin1hour》https://www.bsdcan.org/2010/schedule/attachments/135_crypto1hr.pdf

上一条：上一篇：CC攻击防护有挑战那么加了密的CC攻击HTTPSSSLCC有多难
下一条：下一篇：20180525股市分析及20180528股市预测分析

相关产品

相关资讯