前言
网络耗时增加
用户使用HTTP协议访问http://www.baidu.com(或者www.baidu.com)时会有如下网络上的交互耗时:
可见,用户只需要完成建立TCP连接就能够直接发送HTTP请求获取应用层数据,此外在整个访问过程中也没有需要消耗计算资源的地方。
接下来看HTTPS的访问过程,相比HTTP要复杂很多,在部分场景下,使用HTTPS访问有可能增加7个RTT。如下图:
HTTPS首次请求需要的网络耗时解释如下:
。耗时一个RTT。
使用HTTP发起GET请求,服务端返回302跳转到https://www.baidu.com。需要一个RTT以及302跳转延时。
大部分情况下用户不会手动输入https://www.baidu.com来访问HTTPS,服务端只能返回302强制浏览器跳转到HTTPS。
浏览器处理302跳转也需要耗时。
。耗时一个RTT。
302跳转到HTTPS服务器之后,由于端口和服务器不同,需要重新完成三次握手,建立TCP连接。
。耗时至少一个RTT。
这个阶段主要是完成加密套件的协商和证书的身份认证。
服务端和浏览器会协商出相同的密钥交换算法、对称加密算法、内容一致性校验算法、证书签名算法、椭圆曲线(非ECC算法不需要)等。
浏览器获取到证书后需要校验证书的有效性,比如是否过期,是否撤销。
。耗时一个RTT。
浏览器获取到证书后,有可能需要发起OCSP或者CRL请求,查询证书状态。
浏览器首先获取证书里的CA域名。
如果没有命中缓存,浏览器需要解析CA域名的DNS。
。耗时一个RTT。
DNS解析到IP后,需要完成三次握手建立TCP连接。
。耗时一个RTT。
,耗时一个RTT及计算时间。
完全握手阶段二主要是密钥协商。
完全握手结束后,浏览器和服务器之间进行应用层(也就是HTTP)数据传输。
当然不是每个请求都需要增加7个RTT才能完成HTTPS首次请求交互。大概只有不到0.01%的请求才有可能需要经历上述步骤,它们需要满足如下条件:
。即建立TCP连接后发起的第一个请求,该连接上的后续请求都不需要再发生上述行为。
,而正常情况下80%的请求能实现简化握手。
。Chrome默认关闭了OCSP功能,Firefox和IE都默认开启。
。OCSP一般的更新周期是7天,Firefox的查询周期也是7天,也就说是7天中才会发生一次OCSP的查询。
。只有没命中DNS缓存的情况下才会解析CA的DNS。
计算耗时增加
上节还只是简单描述了HTTPS关键路径上必须消耗的纯网络耗时,没有包括非常消耗CPU资源的计算耗时,事实上计算耗时也不小(30ms以上),从浏览器和服务器的角度分别介绍一下:
RSA证书签名校验,浏览器需要解密签名,计算证书哈希值。如果有多个证书链,浏览器需要校验多个证书。
RSA密钥交换时,需要使用。耗时比较小,但如果手机性能比较差,可能也需要1ms的时间。
ECC密钥交换时,需要计算椭圆曲线的公私钥。
大型网站的HTTPS实践(三)——HTTPS对性能的影响