相信很多人都有去申請並使用 CloudFlare 免費提供的 SSL 服務

CloudFlare 免費提供的 SSL 服務 還支援 無限子域名

大家一定用的很爽吧?!但是 這裡有一個重要的缺點 你不可不知!
CloudFlare 的免費 SSL 基本上屬於SNI架構!
在我們之前談到的 網站安裝SSL一定需要固定IP嗎? 提及此架構 僅不支援 WinXP + IE.
那是不是使用者 用 WinXP + Google Chrome 就行了呢?

原本 SNI 架構式可以支援 WinXP + Google Chrome 瀏覽!

但是 CloudFlare 免費提供的 SSL 服務 答案是否定的喔!
為什麼呢?不是說SNI架構 WinXP + Google Chrome 也可以嗎?

原因是 CloudFlare 免費的版本 把部分 SSL Ciphers 關閉或拿掉了
導至 WinXP 上面的 Google Chrome 出現了以下畫面

也就是說 CloudFlare 免費提供的 SSL 服務 不支援 WinXP + Google Chrome.
實際上我們測試 Win XP + FireFox 是可以正常瀏覽的!但是有多少人會用 FireFox ?

WinXP上面大多數還是 IE 或 Google Chrome 吧!

那這時 如果我們在乎使用WinXP的訪客 該如何解決此類問題?有以下兩種方式!
1.付費給 CloudFlare 升級到 Pro 或更高版本
2.購買自有 SSL 安裝於虛擬主機或VPS上 讓訪客直接連線 不要使用 免費提供的 SSL 服務.

在不在乎 使用 WinXP 的訪客?就看您自行抉擇了!

1.我們只會按照規矩 把客戶的域名 登記在客戶名下 沒特色!
2.我們的安全品質 只會按照標準程序 做該做的事情 沒特色!

下面 看得懂 就看 看不懂也沒關係 別把它當成罩杯看就好! 哈哈!
以下分數不是我們打的分數 是由第三方 https://www.ssllabs.com/ 打出來的SSL安全等級!並有標示檢測時間!
如果自己的安全等級都做的那麼有特色 有別於我們標準程序 想必該公司客戶安全等級也一定很有特色!

當大家的 安全等級 都是 A 的時候 我們只能沒特色的跟大家一樣拿個A 然後也很平常的幫客戶也拿個A !
沒辦法像其他業者那樣有與眾不同的安全等級! 這是我們不對! Sorry!

下面列舉已經是台灣一半以上的虛擬主機商 萬萬沒想到 我們台灣虛擬主機商的水準 真的很有特色! 就是不願跟我們一樣平淡無奇!
自己官網都做不到資安的標準程序 其中部份廠商還敢大言不慚 將資安列為自己的產品賣給消費者 真是台灣奇蹟!
喜歡有特色的你 請別來煩我們 別用我們的服務 以下有很多有特色的可以供你選擇! 快去找他們! 拜託! 謝謝!

大神連結 : https://google.com
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=googel.com
安全等級 : A
檢測時間 : 2014-10-31

常用連結 : https://tw.yahoo.com/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=tw.yahoo.com&s=206.190.36.105
安全等級 :  A
檢測時間 : 2014-11-01

本站連結 : https://100hub.com/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=100hub.com
安全等級 :  A
檢測時間 : 2014-10-31

我們客戶 : https://miioi.com/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=miioi.com
安全等級 :  A
檢測時間 : 2014-10-31

同業官網 : https://acsite.net/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=acsite.net
安全等級 : C
檢測時間 : 2014-10-31

同業官網 : http://auth.aptg.com.tw/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=auth.aptg.com.tw
安全等級 :  C
檢測時間 : 2014-11-01

同業官網 : https://ecp.fareastone.com.tw/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=ecp.fareastone.com.tw
安全等級 :  F
檢測時間 : 2014-11-01

同業官網 : https://comp.hihosting.hinet.net/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=comp.hihosting.hinet.net
安全等級 : B
檢測時間 : 2014-11-01

同業官網 : https://hosting.url.com.tw/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=hosting.url.com.tw
安全等級 :  C
檢測時間 : 2014-10-31

同業官網 : https://itn.tw/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=itn.tw
安全等級 :  C
檢測時間 : 2014-11-01

同業官網 : https://hb.nss.com.tw/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=hb.nss.com.tw
安全等級 :  C
檢測時間 : 2014-10-31

同業官網 : https://www.pumo.com.tw/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=pumo.com.tw
安全等級 :  F
檢測時間 : 2014-10-31

同業官網 : https://serverzoo.com/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=serverzoo.com
安全等級 : C
檢測時間 : 2014-10-31

同業官網 : https://service.tfn.net.tw/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=service.tfn.net.tw
安全等級 :  C
檢測時間 : 2014-11-01

同業官網 : https://twnoc.net/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=twnoc.net
安全等級 : C
檢測時間 : 2014-10-31

同業官網 : https://wis.com.tw/
評級連結 : https://www.ssllabs.com/ssltest/analyze.html?d=wis.com.tw
安全等級 : C
檢測時間 : 2014-10-31

以上檢測單位 https://www.ssllabs.com/ 與我們一點關係都沒有 謝謝!

其它連SSL都不裝的同業 我們連提都不敢提 完全不管客戶資料安全的同業 我們不敢跟他們比較 因為他們太強了!

免費SSL 會不會太扯了 其實也還好啦 錢能辦得到的事情都不算難事

如果想用 CloudFlare 的免費 SSL 條件很簡單 那就是你的域名必須託管於 CloudFlare
你在 CloudFlare 介面裡看到跟下方圖片一樣的話 就表示 SSL 已經設定完成了
此過程 我們等待了三到五天 或許是一開始推出免費服務的量比較大 將來會不會不要等那麼久就不知道了!
下方區塊中
綠色的 SSL active 表示已經設定完成
橘色的 SSL issuing 表示設定中請再繼續等待
紅色的 SSL expired 表示 SSL 已經過期失效

此時 我們可以在網址上方 開始使用 https 來驗證 CloudFlare 提供的憑證
憑證內容如下 竟然是 Wildcard 多子域型 SSL 太屌了 有錢真是大爺 哈哈!

我們再來看看 下方圖示中 CloudFlare 的免費 SSL 類別定義

Flexible SSL 表示如下
客戶 <--有加密(Port 443)--> CloudFlare <--沒加密(Port 80)--> 你的網站主機
此類別的優點
1.你可以不用自行購買SSL
2.加密耗費資源及效能 僅需視 CloudFlare 而定
此類別的缺點
1.你的網站主機傳送資料到 CloudFlare 之間 並無加密 不算安全

Full SSL 表示如下
客戶 <--有加密(Port 443)--> CloudFlare <--有加密(Port 443)--> 你的網站主機
此類別的優點
1.從你的網站主機透過 CloudFlare 傳送到客戶端 全程加密
此類別的缺點
1.你的主機 也必須自備並安裝 SSL 憑證 所以沒省到錢
2.客戶端看到的 SSL 是 CloudFlare 提供的憑證 並非你主機上安裝的 SSL
3.加密耗費資源及效能 透過兩次手續 CloudFlare 以及 你的主機 整體效能堪憂

至於 Full SSL (Strict) 目前還是屬於付費才能使用 不列入本次討論範圍

綜合上述結論 如果透過 CloudFlare 提供的免費 SSL 來運作網站 比較適合 對安全性不需絕對嚴謹的網站
例如 一般討論區 或者 部落格

至於購物網站之類比較需要安全性的網站 還不如讓客戶直接連線你的主機 資源只需耗費一次
除非 你的網站 圖片非常之多 圖片傳輸速度需求 遠大於 SSL 雙重加密效能

以上隨便亂講 還有待時間來驗證!謝謝!

2014.09.05 Google 於部落格發表了一篇 逐步廢止以 SHA-1 加密方式的 SSL 說明及時間表(Gradually sunsetting SHA-1)

這時 身為擁有SSL憑證的網站管理員 應該怎麼做呢?
很簡單 那就重新產生SSL必要的資料時 採用更高級的加密方式 再重新進行 SSL 補發並重新安裝即可

以本文最上方的圖片為例 您可自行檢查 自己的 SSL 憑證加密方式
如果 您的 SSL 憑證跟圖片中的一樣 是 sha1 加密方式 那就屬於即將不及格的 SSL 憑證

這時您就需要 補發憑證 並 重新安裝憑證 來解決此問題!

就算您不是跟我們購買的 SSL 也請務必回頭找您的 SSL 供應商處理此事 以免將來被瀏覽器以不及格處分!

我們已提供 自助補發機制 可於我們的後台自行完成操作

以下為我們後台補發憑證選擇畫面 不及格的人 請自行完成吧!

就在我們提及 再談ssl加密之必要性 之後不到三個月內

於 2014年08月06日 Google 在網站管理員中心的Blog 發表了 HTTPS as a ranking signal 這意味著我們的大方向是相同的!

該文章中表示 您的網站 是否採用SSL憑證(https) 做為安全加密 將會影響你網站於Google的自然排序排名

目前影響程度很小 小於一般條件 也就是說 您網站的內容還是最主要影響你的排名 有沒有採用SSL安全加密 目前影響的比重是極少

但他們也提到 這個條件比重將會隨著時間而增加 也就是將來影響比重 會越來越大 至於大到哪種程度? 小弟弟我也不知道!

他們的觀點是想推動 不論任何類型的網站 都希望您採用SSL安全加密機制 以達到更安全的網路環境

看來 越來越多人 重視這個問題了!這次由Google出手 到底影響有多深遠 有待時間來驗證吧!

我們以往的觀念 大多在商務交易才會想到需要 安裝SSL憑證
這是確保網站消費者的個資基本傳輸安全

但 事實上 若要全面考量 那麼小弟弟會認為 並非侷限於那麼狹小的範圍
甚至 可以推廣至全部網站都安裝SSL憑證

原因如下
1.非SSL加密傳輸下 任何網站使用者包括管理者 對該網站的任何行為皆可被竊取
例如開了哪個頁面 看了哪張圖片 送出了哪個登入帳號

2.在非加密傳輸下 收發任何電子郵件 一樣皆可被傳輸中間節點監聽竊取
如果你的信箱 只是拿來喇賽 那倒無所謂 如果是用於商業往來 那可就有所謂了

很多事情 只是在於做與不做 或許你會想 我只是開個部落格 有差嗎?
假設 有人取得你的登入帳號 後面只剩下怎麼猜密碼了吧!
假設 有人知道你的信件內容 關係到公司存亡的商業機密?
或許沒那麼誇張 但是 請相信小弟弟 真的不無可能 只是你有沒有那麼倒楣而已!

這時候 是該把錢捐給土地公 請祂保佑你 或是花點小錢 買張SSL憑證 求個心安!

只能說 小弟弟只能領進門 修行在個人! 謝謝!

PS.小弟弟依然認為 SSL 要花錢拿掉警告 依然是被瀏覽器和SSL廠商共同綁架的行為!

小弟弟這裡就不廢話 因為這裡不是教室 不討論原理 直接切入結果!
早期 安裝 SSL數位憑證 都需要 "一個SSL數位憑證 必須配置一個固定IP" 這是一個很普遍的觀念!
但是哪來的那麼多資源 那麼多金錢 去搞固定IP?

從 2007 年 開始 OpenSSL 0.9.8 開始支援 SNI(Server Name Indication) 技術  從此後打破 "一個SSL數位憑證 必須配置一個固定IP" 的迷思!
事實上 SNI技術 早於2004年或者更早就已經展開實驗及研究 在此感謝SNI技術開發人員!

以上廢話完畢 如果 你想要安裝多個SSL於一個IP上 首先你的伺服器要支援該技術 還有瀏覽器環境必須也要支援SNI技術 這樣您購買的憑這才不會出現警告標語!

目前市面上支援此技術的瀏覽環境如下

1.Internet Explorer 7 或更高版本, 並 Windows Vista 或更高的版本 (XP上的IE任何版本均不支援)
2.Mozilla Firefox 2.0 或更高版本
3.Opera 8.0 (2005) 或更高版本
4.Opera Mobile version 10.1 beta 於 Android系統[需要citation]
5.Google Chrome (於Vista或更高的版本. XP 必須使用 Chrome 6 或更高的版本. OS X 10.5.7 或更高的版本 且 Chrome 5.0.342.1 或更高的版本)
6.Safari 3.0 或更高的版本 (Mac OS X 10.5.6 或更高的版本 , Windows Vista 或更高的版本)
7.Konqueror/KDE 4.7 或更高的版本
8.MobileSafari 於 Apple iOS 4.0 或更高的版本
9.Android 預設瀏覽器 於 Honeycomb (v3.x) 或更高的版本
10.BlackBerry 10 和 BlackBerry Tablet OS 預設瀏覽器
11.Windows Phone 7 預設瀏覽器[需要citation]
12.MicroB 於 Maemo
13.Odyssey 於 MorphOS

簡單的說 影響最大的就是 XP + IE 不支援此技術 如用XP系統 就要配合 Mozilla Firefox 2.0 或 Chrome 6 以上版本 的瀏覽器
次要影響就是 手機作業系統的版本 Android 3.0 以下 或 Apple iOS 4.0 以下的版本就不支援SNI技術

如果 你在乎上述的客戶群 那你就一定要回到 "一個SSL數位憑證 必須配置一個固定IP"!這樣才不會讓你失望!
如果你相信 現在的使用者 應該會跟著時代進步 跟不上時代是你家的事情 那麼小弟弟 就會推薦你 直接購買SSL憑證 安裝於 有支援SNI的伺服器上面即可!

我們目前的 Linux 主機全面支援SNI技術 , 由於相容度的問題我們的 Windows 主機 暫無升級到最新版本 所以暫不支援此技術(將來會視需求度升級系統)!

以上報告到此 立正~敬禮~禮畢~稍息~ 解散~