文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

大型网站的HTTPS实践(三)——HTTPS对性能的影响

2023-06-03 22:12

关注

前言

HTTPS在保护用户隐私,防止流量劫持方面发挥着非常关键的作用,但与此同时,HTTPS也会降低用户访问速度增加网站服务器的计算资源消耗。本文主要介绍HTTPS对性能的影响。

HTTPS对访问速度的影响

在介绍速度优化策略之前,先来看下HTTPS对速度有什么影响。影响主要来自两方面:协议交互所增加的网络RTT(round trip time)和加解密相关的计算耗时。下面分别介绍一下。

1网络耗时增加

由于HTTP和HTTPS都需要DNS解析,并且大部分情况下使用了DNS缓存,为了突出对比效果,忽略主域名的DNS解析时间。

用户使用HTTP协议访问http://www.baidu.com(或者www.baidu.com)时会有如下网络上的交互耗时:

大型网站的HTTPS实践(三)——HTTPS对性能的影响

图1  HTTP首个请求的网络耗时

可见,用户只需要完成TCP三次握手建立TCP连接就能够直接发送HTTP请求获取应用层数据,此外在整个访问过程中也没有需要消耗计算资源的地方。

接下来看HTTPS的访问过程,相比HTTP要复杂很多,在部分场景下,使用HTTPS访问有可能增加7个RTT。如下图:

大型网站的HTTPS实践(三)——HTTPS对性能的影响

图2  HTTPS首次请求对访问速度的影响

HTTPS首次请求需要的网络耗时解释如下:

  1. 三次握手建立TCP连接。耗时一个RTT。

  2. 使用HTTP发起GET请求,服务端返回302跳转到https://www.baidu.com。需要一个RTT以及302跳转延时。

    1. 大部分情况下用户不会手动输入https://www.baidu.com来访问HTTPS,服务端只能返回302强制浏览器跳转到HTTPS。

    2. 浏览器处理302跳转也需要耗时。

  3. 三次握手重新建立TCP连接。耗时一个RTT。

    1. 302跳转到HTTPS服务器之后,由于端口和服务器不同,需要重新完成三次握手,建立TCP连接。

  4. TLS完全握手阶段一。耗时至少一个RTT。

    1. 这个阶段主要是完成加密套件的协商和证书的身份认证。

    2. 服务端和浏览器会协商出相同的密钥交换算法、对称加密算法、内容一致性校验算法、证书签名算法、椭圆曲线(非ECC算法不需要)等。

    3. 浏览器获取到证书后需要校验证书的有效性,比如是否过期,是否撤销。

  5. 解析CA站点的DNS。耗时一个RTT。

    1. 浏览器获取到证书后,有可能需要发起OCSP或者CRL请求,查询证书状态。

    2. 浏览器首先获取证书里的CA域名。

    3. 如果没有命中缓存,浏览器需要解析CA域名的DNS。

  6. 三次握手建立CA站点的TCP连接。耗时一个RTT。

    1. DNS解析到IP后,需要完成三次握手建立TCP连接。

  7. 发起OCSP请求,获取响应。耗时一个RTT。

  8. 完全握手阶段二,耗时一个RTT及计算时间。

    1. 完全握手阶段二主要是密钥协商。

  9. 完全握手结束后,浏览器和服务器之间进行应用层(也就是HTTP)数据传输。

当然不是每个请求都需要增加7个RTT才能完成HTTPS首次请求交互。大概只有不到0.01%的请求才有可能需要经历上述步骤,它们需要满足如下条件:

  1. 必须是首次请求。即建立TCP连接后发起的第一个请求,该连接上的后续请求都不需要再发生上述行为。

  2. 必须要发生完全握手,而正常情况下80%的请求能实现简化握手。

  3. 浏览器需要开启OCSP或者CRL功能。Chrome默认关闭了OCSP功能,Firefox和IE都默认开启。

  4. 浏览器没有命中OCSP缓存。OCSP一般的更新周期是7天,Firefox的查询周期也是7天,也就说是7天中才会发生一次OCSP的查询。

  5. 浏览器没有命中CA站点的DNS缓存。只有没命中DNS缓存的情况下才会解析CA的DNS。

2计算耗时增加

上节还只是简单描述了HTTPS关键路径上必须消耗的纯网络耗时,没有包括非常消耗CPU资源的计算耗时,事实上计算耗时也不小(30ms以上),从浏览器和服务器的角度分别介绍一下:

  1. 浏览器计算耗时

    1. RSA证书签名校验,浏览器需要解密签名,计算证书哈希值。如果有多个证书链,浏览器需要校验多个证书。

    2. RSA密钥交换时,需要使用证书公钥加密premaster。耗时比较小,但如果手机性能比较差,可能也需要1ms的时间。

    3. ECC密钥交换时,需要计算椭圆曲线的公私钥。

    4. ECC密钥交换时,需要使用证书公钥解密获取服务端发过来的ECC公钥。

    5. ECC密钥交换时,需要根据服务端公钥计算master key

    6. 应用层数据对称加解密。

    7. 应用层数据一致性校验。

  2. 服务端计算耗时

    1. RSA密钥交换时需要使用证书私钥解密premaster。这个过程非常消耗性能。

    2. ECC密钥交换时,需要计算椭圆曲线的公私钥。

    3. ECC密钥交换时,需要使用证书私钥加密ECC的公钥。

    4. ECC密钥交换时,需要根据浏览器公钥计算共享的master key。

    5. 应用层数据对称加解密。

    6. 应用层数据一致性校验。

由于客户端的CPU和操作系统种类比较多,所以计算耗时不能一概而论。手机端的HTTPS计算会比较消耗性能,单纯计算增加的延迟至少在50ms以上。PC端也会增加至少10ms以上的计算延迟。

服务器的性能一般比较强,但由于RSA证书私钥长度远大于客户端,所以服务端的计算延迟也会在5ms以上。
总  结

HTTPS在保证数据安全性的同时,对服务性能也造成了一些影响。在本文中,我们着重介绍了HTTPS从网络耗时和加密解密两方面对于服务性能的影响。在下一篇系列文章中,我们将为大家带来百度在减小HTTPS对性能影响方面的方法和经验。

文章整理自百度HTTPS技术联合团队

阅读原文内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯