Mail.RuポータルのメインページでHTTPSを実装した方法

逆説的に：HTTPSは長年にわたって使用されてきましたが、長年にわたって、セキュリティが重要なデータを処理するすべてのインターネットリソースのデフォルトの標準にはなりませんでした。 昨年、私たちは主要なロシアのポータルの中で、メインページにHTTPSを組み込んだ最初の企業になりました。



現在、暗号化はMail.Ruポータルのユーザーの最初のステップから機能し、デフォルトで常に有効になっています。 ログインフォームとメールパスワードがメインページにあるため、これは単なる必須アイテムです。 承認中のユーザーデータの転送は長年にわたってHTTPS経由で行われていますが、メインページがHTTP経由でロードされる場合、データ入力段階でSSLストリップ攻撃中にそれを傍受することができます。これはサイバー犯罪者の間で非常に人気があります。 たとえば、存在しないサイトexample.comを取り上げて、その本質を思い出させてください。

• ユーザーがパブリックWi-Fiを介してインターネットにアクセスし、ブラウザーにexample.comを書き込むとします。
• 要求はexample.comサーバーに送られ、そこでサーバーが応答を形成します。 特に、承認が行われるURL（https://auth.example.com）へのリンクが含まれています。
• 攻撃者は応答を傍受し、このURLを他のURL（https://some-fraudlent-server.com）に変更します。 HTTPSを使用しない場合、ハッカーはトラフィックを「聞く」だけでなく、サーバーに代わってクライアントに偽のデータを送信できます。
• 攻撃者は、偽のページを表示するユーザーのブラウザに偽のページを送信します。 通常のページとまったく同じように見えます。
• 疑いを持たないユーザーがユーザー名とパスワードをそこに入力し、「Enter」をクリックします。
• ブラウザは、ユーザーを承認フォームのアクションに転送します。 攻撃者のアクションがなかった場合、攻撃者はhttps://auth.example.comに変換しますが、URLのなりすましのために、ブラウザはそれを自分のページhttp：//some-fraudlent-server.comに転送し、送信しますユーザーのユーザー名とパスワードがあります。

ユーザーが非常に独創的であることが判明した場合でも（たとえば、ブックマークにページのhttp-addressを保存しました-http：//mail.ru/このリンクを使用してメインページに移動しようとします）、攻撃者は非常に永続的です-などこの場合、Strict Transport Securityテクノロジーによりユーザーデータが保護されます。 これは、HTTPSを介した強制セキュア接続をアクティブにするメカニズムです。 最新のブラウザのほとんどでサポートされています。 そのため、メインページにHTTPSを実装することが非常に重要でした。



したがって、HTTPSへの移行は、まずトラフィックをリッスンすることから保護され、次にページコードがMiTMを変更できるという事実から保護します。 攻撃者、またはユーザーに独自のバナー広告を表示したい公共のWi-Fiプロバイダーなどです。 このようなバナーは、ナビゲーション要素などの有用なコンテンツの一部と重なり合う場合があります-もちろん、これは常にユーザーに好かれるわけではありません。 ところで、理論的には、プロバイダーはユーザーデータを傍受することで悪意のあるコンテンツを導入することもできます。



次に、最も大きく最も訪問されたRunetポータルの1つのメインページにHTTPSを実装する方法と、直面する困難について説明します。

コンテンツをHTTPSに変換する

最初のステップは、メインページに表示されるすべてのコンテンツをhttpsに転送することでした。 ほとんどの情報は、他のMail.Ruサービス（ニュース、天気など）から取得します。 それらのいくつかはまだHTTPSに切り替えていません。 ただし、コンテンツ、つまり他のサービスから撮影された写真は物理的にサーバーに転送されるため、HTTPSを介してコンテンツを受信したり、これらのサービスの負荷が増加したりしても問題はありませんでした。



Mail.Ruポータルで動作する一般的なバナーシステムには、パートナーからの外部コンテンツも含まれているため、より困難でした。 これらは、パートナーのバナーが表示されたときに統計情報を計算するために使用されるピクセル（1x1ピクセルの透明な写真）です。 メールにHTTPSを実装した場合でも、2つのことを行いました。1つ目はパートナーとHTTPSに切り替えることで合意し、2つ目は、安全でないコンテンツを含むバナーの表示をバナーシステム側で技術的に禁止することです。 。 メインページをHTTPSに変換するために、これらのソリューションを使用しました。



アフィリエイトコンテンツのもう1つの例は、オーディエンスカウンターです。 HTTPSに切り替える場合は、安全なプロトコルとの互換性について、そのようなすべてのコンテンツを確認することをお勧めします。



ライブユーザーのHTTPSを有効にする前に、Mail.Ru Groupの従業員を強制的に転送しました。 これにより、目立った負荷を与えることはできませんでしたが、ページ上のすべてのコンテンツが安全なプロトコルを使用して確実に読み込まれるようになりました。

ライブでHTTPSを有効にする

私たちが準備していた主な問題：HTTPSに切り替えると、サーバーの負荷が大幅に増加します。 さらに、サーバーへの接続時間と、スクリプトと静的ファイルをロードする時間を増やすことにより、ページ全体のロード時間を増やします。 したがって、私たちが解決した主なタスクは、第一に、現在の量のハードウェアで開始しようとすることであり、第二に、最小のページ読み込み速度を取得することでした。



バトルチェックを行うことを決定し、一部のユーザーに対してHTTPSを有効にして、鉄の負荷がどれだけ増加したかを測定しました。 数日間にわたって、HTTPSのシェアを徐々に増やし、チャート（サーバー上のCPU、ブロックごとのページ読み込み時間、およびオーディエンスインジケーター（ヒットとメインのプロジェクトへの移行））に従いました。 ここで、メインページについては、複数の負荷を維持する必要があると考えていることに注意してください。 ただし、テストを開始したところ、100％のユーザーに対してHTTPSを開始した場合、このマージンは存在しないことが示されました。 そして、最適化の時間です。



まず、キープアライブを有効にしました。これにより、サーバーへの再接続を確立するための時間が不要になりました。 メインページMail.Ruは現在のユーザーに関する情報を1分ごとにサーバーに問い合わせるため、確立された接続を使用して更新します。 これにより、キープアライブは確立された接続の数を減らしました。 その結果、負荷が減少し、サーバーからの応答の平均待機時間が約30％減少しました。



第二に、ユーザーデータの更新要求の数を3分の1に削減しました。 メインページでは、1分間に約90万件のこのようなリクエストが行われます。 ただし、ユーザーが不正であった場合、サーバーをいくつ試しても新しいことはわかりません（これは、数分ごとに冷蔵庫を調べて、何か新しいものがあるかどうかを確認するようなものです）。 その結果、ユーザーデータの更新は、このデータを更新できると想定した場合、つまりユーザーが承認されるか、承認が変更された場合にのみ適用され始めました。 これらの変更により、サーバーを追加することなく、負荷を許容可能なレベルに減らし、すべてのユーザーに対してHTTPSを有効にできました。



HTTPSが「まったく」有効になったとき、ユーザーがそれらに遭遇した場合、非標準のブラウザーまたはOSでのページの読み込みに関する問題を示す可能性があるため、オーディエンスインジケーターの変化を監視しました。



興味深い点がありました。HTTPSを有効にした直後に、モバイルバージョンのメインページのインプレッション数が増加していることがわかりました。 もちろん、この成長は懸念を引き起こしました。 HTTPSを使用すると、ユーザーがブラウザに戻ってクリックしてページに戻ると、ページが完全にリロードされることが判明しました。 そして、ユーザーはこの方法でメイン画面に頻繁に戻ります。メイン画面のモバイル版からのリンクは、大きな画面とは異なり、同じウィンドウで開きます。 HTTPでは、モバイルブラウザのページはキャッシュから表示されることがよくあります（動作はOSとブラウザによって異なります）。 そのため、メインのカウントインプレッション数が増加しました。 この仮説をテストするために、（一部のブラウザーの）戻るボタンを使用してページのリロードのグラフを作成し、彼はそれを確認しました。



これで、ポータルのメインページの翻訳に成功しました。 さらに、コンテンツプロジェクトにHTTPSを実装しました。たとえば、メールと比較してあまり多くのユーザーデータは保存されませんが、承認フォームがあります。 これで、Mail.Ru News、Auto、Cars、Hi-Tech、Weather、Health、Childrenで安全なプロトコルが有効になり、このリストは拡大し続けます（次の投稿のいずれかで、HTTPSへの移行が検索エンジンからのトラフィックにどのように影響するかを説明します） ）



この例が同僚を刺激し、多かれ少なかれ大規模なリソースのすべてのメインページがHTTPSで徐々に表示されることを願っています。 SSLstrip攻撃からユーザーデータを保護します！