出于安全考虑,很多与用户有交互的网站都会提供SSL加密连接的访问方法,也就是https的方式连接,尤其是在用户的登录页面使用,但是一般都只限于用户登录之时。不登录或者登录之后的数据传输都是不加密的,因为加密连接会一定程度的减慢连接速度,影响用户体验。
常用的网站像Gmail最早只是提供https的链接方式,后来google将其改为默认的链接的方式以增加安全性,微软的hotmail也是如此;另外Facebook和Twitter两大热门网站都有https的链接方式,只要在用户设置中稍作修改,就可以实现任何时候都是SSL的加密链接,不过不是默认选项,是由用户去手动调节的。Twitter最近正在为部分用户自动启用SSL加密链接访问网站,这也许代表了Twitter的一种保护用户隐私的态度。
国外的很多网站都提供https的连接方式,国内在这方面做的差些,也许是出于某种考虑吧。其实加密是很有必要的,出于安全考虑,保护用户的隐私,也保护网站的内容。cookie是网站常用的保存用户信息到本地的方法,比如可以有效地减少用户的重新登录次数,缺点是包含个人信息。https的链接同样可以使用cookie,但是这些cookie也是被加密的。
有印象是去年Firefox上出现了一个名叫Firesheep的扩展,这个扩展可以轻易获取存储在用户电脑上的cookie数据。这个扩展的亮点是如果一个开放无线热点上的一个其他用户正在访问facebook,那么使用这个扩展的其他一个用户的电脑上就可以显示出那个facebook用户保存在facebook上的照片和名字。所以不加密的数据是个定时炸弹,可能对用户产生不可估计的影响。
最近可能不少人可以通过修改hosts上一些以往不能上的网站,但是需要注意的是,修改hosts之后,仍然只能通过https的方式访问某些网站,Twitter、Facebook或者google的网站都可以设置使用https来登录,好些网站虽然有https链接,但是访问后总是会跳会http链接,这样就常常撞墙。这里提供两个方法,来使浏览器自动去做SSL链接:
1、HTTPS Everywhere是Firefox上最好用的一款涉及安全的扩展,它来自EFF(电子前线基金会 或 电子前哨基金会 Electronic Frontier Foundation),安装之后会根据一套网站列表来自动判断需要采用https链接的情况,用户也可以根据固定的语法规则手动添加一些网站进入列表。
2、Chrome浏览器上的暂时还不能使用HTTPS Everywhere,不过有另一种方法,在chrome的地址栏里输入 chrome://net-internals 然后回车,选择HSTS标签,在第一个Domain输入框中写上twitter.com或者其他任何网站,并在Include subdomains的复选款上打钩,点击页面的第一个ADD按钮,这样任何在twitter.com上的一级域名二级域名都会默认启用https链接。