Quel est le coût d'utilisation de HTTPS par rapport à HTTP?

Je lisais ce blog (http://googlepublicpolicy.blogspot.com/2009/06/https-security-for-web-applications.html) posté par google sur ne pas activer HTTPS pour Gmail par défaut. L'un des paragraphes dit comme ci-dessous.Quel est le coût d'utilisation de HTTPS par rapport à HTTP?

À moins d'effets négatifs sur l'expérience de l'utilisateur ou autrement impossible, nous avons l'intention d'activer HTTPS par défaut plus largement, espérons-le pour tous les utilisateurs de Gmail. Nous réfléchissons également à la manière de rendre ce travail optimal pour d'autres applications, y compris Google Docs et Google Agenda (nous proposons également un HTTPS gratuit pour ces applications).

Je ne comprenais pas quels effets négatifs peut-il y avoir, en passant à HTTPS. Existe-t-il un benchmarking sur la performance du HTTP et du HTTPS?

Je pense que https implique en fait des messages de protocole supplémentaires et le cryptage des données plus tard. Ne peuvent pas ces questions soient pris en charge en ayant le code du navigateur SSL à charger par défaut etc ..

Merci Bala

Source

2009-12-12 Boolean

S'il vous plaît lancer une recherche google rapide pour "frais généraux de https" et vous trouverez un papier sur la toute première page qui regarde les frais généraux. – atk

Le coût principal de https est généralement l'échange de clé au début de la session, qui est gourmande en ressources processeur. L'accélération Hardward est disponible pour gérer cela. Si c'est un cert EV alors il faudra également vérifier la révocation. Le cryptage réel du flux est relativement bon marché. Sun Niagara II a un chiffrement «zéro frais généraux» qui utilise des cycles FPU de rechange pour effectuer le traitement.

Source

2009-12-12 05:25:07

la ligne de processeur Sun Niagra est horrible pour le cryptage, sauf si vous avez recompilé le SSL en utilisant les accélérateurs de cryptage: le CPU de base a 32 pipelines entiers, mais ils partagent tous un FPU - il est dog-ass- lent sur le cryptage – warren

Woah. Pourquoi ne compileriez-vous pas pour que le système d'exploitation gère SSL? Ce genre de chose me semble raisonnable. Le Niagara 1 avait une seule unité FPU, mais n'avait pas cette fonctionnalité. Le Niagara 2 (qui expédie dans des serveurs depuis plus de deux ans) compte 8 FPU - un par cœur. Il semble que ce soit une charge de travail inhabituelle qui occuperait toujours à la fois le virgule flottante et le cryptage - probablement l'un ou l'autre sera trivial. http://en.wikipedia.org/wiki/UltraSPARC_T2 –

Avec HTTPS tout le trafic entre l'utilisateur et le serveur hébergeant les informations sont cryptées pour être vu seulement par l'utilisateur et le serveur. Cela rend très difficile pour un homme dans l'attaque du milieu. Cela nécessite des ressources supplémentaires des deux côtés pour interpréter ce qui est communiqué.

Généralement, sur les serveurs à forte demande sur HTTPS, il existe une limite aux sections du site utilisant SSL ou aux cartes de cryptage qui déchargent le processus de cryptage.

Source

2009-12-12 05:02:32 monksy

Si les ressources supplémentaires sont uniquement liées à l'UC, je pense que la majorité des machines peuvent gérer cette surcharge. Si c'est toujours un surcoût, alors je pense que cela pourrait poser problème avec l'implémentation et une meilleure implémentation probablement dans le noyau peut être envisagée. – Boolean

Avec HTTPS, il existe une couche supplémentaire de chiffrement par utilisateur. Cela réduira votre performance d'un bon facteur. – monksy

Je suis toujours confus. Lequel est le plus élevé? Frais généraux de cryptage ou d'échange de clés. Merci. – Boolean

La surcharge de https est entièrement dans la phase de négociation de clé au début de la session. Si les clés doivent expirer rapidement, elles devront peut-être être renégociées fréquemment. Cependant, si vous vivez sur SSL 128 bits (le plus commun que j'ai vu), la génération et l'échange de clés est un processus très court. Essayez de le synchroniser à partir de deux machines sur un réseau - l'une se connectant sur SSL, et l'autre sur le texte en clair: elle est dans les pourcentages à un chiffre, et seulement vraiment visible au début de la session.

L'activité basée sur le navigateur est presque toujours liée à l'utilisateur, non liée à la machine.

Source

2009-12-14 15:40:12 warren

Quel est le coût d'utilisation de HTTPS par rapport à HTTP?

Répondre

Questions connexes