将 HTTP 连接升级到 SSL/TLS

Question

我目前有一个服务器，它会自动将所有 HTTP 请求重定向到等效的 HTTPS 站点。问题是有些浏览器似乎不接受 SSL 证书 (StartSSL.com) 或不支持 SNI，因此它们会收到证书警告，用户将无法继续在网站上冲浪。

是否有任何机制试图让浏览器使用 HTTPS 而不是普通的 HTTP，当它不起作用时（例如不接受证书或不支持 SNI），它会继续使用 HTTP。

目前，我将 Apache 2.4 与多个虚拟主机一起使用，这些虚拟主机都使用Redirect / https://domain.example/.

Answer 1

如果 https 不工作，浏览器不应该自己降级到 http，因为攻击者需要做的就是让 https 不可用（例如阻止端口 443）。因此，唯一可以做到这一点的方法是从服务器指示浏览器这样做，例如通过发送 http 重定向。当然，这应该通过安全连接发送（否则中间人可能会伪造它），但不幸的是，安全连接失败正是您的问题。

总结：不，这是不可能的，这样更好。

顺便说一句，所有现代浏览器都支持 SNI，但并非所有应用程序（例如 Java 应用程序等）都支持。如果您在 Web 服务器上有多个域，但这些应用程序只需要一个域，您可以将此域的证书设置为默认值。否则，您将需要获得一个（更昂贵的）证书，其中包含所有需要的域作为主题替代名称。

用另一个想法编辑：您可以尝试做的是从您身边下载一个图像作为 https 并使用 img-tag 上的 onerror 处理程序检查成功。也许这不会触发用户可见的警告，而只是无法加载。如果成功，您就知道可以访问 https 并重定向用户。

除此之外，您必须问自己，如果您也接受 http 访问，为什么要提供 https。要么有数据应该受到保护，要么没有。只要您提供对 http 的回退，攻击者就很容易强制执行 http 而不是 https。