https防御劫持有效果吗
流量劫持最直观的表现，就是网页上被插入了一些乱七八糟的广告/弹窗之类的内容。如下图这样，想要及时知道自己网站的状态和是否被劫持，可以用IIS7网站监控工具，可以帮助你监控你的网站，一键检测你的网站。那么遇到流量被劫持的情况，https防御劫持有效果吗?我们一起来看一看。
二、HTTPS如何防止劫持
1、HTTPS，是HTTP over SSL的意思，提到HTTPS就不得不先简单描述一下SSL/TLS协议。SSL协议是Netscape在1995年首次提出的用于解决传输层安全问题的网络协议，其核心是基于公钥密码学理论实现了对服务器身份认证、数据的私密性保护以及对数据完整性的校验等功能。1999年IETF将SSL 3.0标准化，是为TLS 1.0版本，目前TLS协议的最新版本是1.2版本，TLS 1.3标准正在制定中。为了方便，下文将SSL/TLS协议都简称为SSL协议。
2、SSL协议在HTTP请求开始之前增加了握手的阶段，其粗略流程如下图所示：
3、在SSL握手阶段，客户端浏览器会认证服务器的身份，这是通过“证书”来实现的，证书由证书权威（CA）为某个域名签发，可以理解为网站的身份证件，客户端需要对这个证件进行认证，需要确定该证书是否属于目标网站并确认证书本身是否有效。最后在握手阶段，通信的双方还会协商出一个用于加密和解密的会话密钥。
4、SSL握手阶段结束之后，服务器和客户端使用协商出的会话密钥对交互的数据进行加密/解密操作，对于HTTP协议来说，就是将HTTP请求和应答经过加密之后再发送到网络上。
5、由此可见，因为SSL协议提供了对服务器的身份认证，所以DNS劫持导致连接错误服务器的情况将会被发现进而终止连接，最终导致DNS挟持攻击无法实现。此外SSL协议还提供数据的加密和完整性校验，这就解决了关键信息被嗅探以及数据内容被修改的可能。
三、如何部署HTTPS
1、要将网站进行HTTPS支持以达到防劫持的效果，首先需要的是为网站的域名搞一张证书。这个证书必须是由知名CA所签发的，这是因为知名CA的根证书广泛的存在于大多数浏览器和操作系统中，因此可以被客户端用来校验网站证书是否合法。
2、传统CA的证书签发流程大体相同，基本上都是根据证书认证的级别，进行一系列不同流程的认证，然后认证通过后申请者缴纳相应的费用就可以或得到证书。这个流程相对比较繁琐，尤其是对于个人和小型网站管理者来说搞起来也确实麻烦。这里推荐一种新型的方法——使用Let's Encrypt的自动化服务获取免费的证书。
3、Let's Encrypt项目是由ISRG提供的免费CA服务，其主要目的是减少证书获取的难度，将证书的签发/续签/作废等操作进行自动化处理。Let's Encrypt的使用方法非常简单，按照文档中步骤操作即可。如需进一步了解如何使用Let's Encrypt自动获取免费证书，可以参考：用Let’s Encrypt获取免费证书
4、在获得到证书（以及对应的私钥）之后，主要有如下几种方法来使用：
（1）直接在Web服务器上部署证书和私钥，相关apache或nginx都有大量的文档说明，在此就不赘述了
（2）在服务器集群的接入层/反向代理处部署证书和私钥，例如阿里云的CDN, SLB和高防IP等产品均提供HTTPS支持，可以直接上传证书和私钥就可以实现网站的HTTPS改造。
四、阿里云的HTTPS支持
1、阿里巴巴在2015年的双11期间，成功的使用了全站范围（包括淘宝、天猫等核心电商域名）的HTTPS为广大买家提供安全的购物体验，这种体量的HTTPS服务在业界也极为少见。我们在进行电商业务的HTTPS改造时，在密码学、SSL/TLS协议以及PKI体系等领域进行了一系列的优化和创新，并在此过程中积累了大量宝贵的经验。
2、阿里云做为底层基础设施的提供者，在阿里全站HTTPS化的过程中提供了大量的技术支撑，阿里云的CDN和SLB等产品在HTTPS的加速以及卸载等环节发挥了重要的作用。我们希望能将在淘宝/天猫业务上积累的HTTPS领域的经验和成果，借助阿里云的平台，让更多人来使用，籍此希望跟多的互联网流量能够HTTPS化，让流量劫持再无可能。
