從HTTP到HTTPS,搜索史上最大遷徙
[導讀]
當下，互聯網、手機已經成為人們生活依賴度相當高的工具，但就像一把雙刃劍，互聯網也是一個“黑白”都存在的世界。近年來，用戶數據泄露、流量劫持、頁面篡改等安全事件頻發，昨晚3.15晚會曝光了免費WiFi的安全問題就是一個典型的場景。對此，很多普通公眾可能并不明白，為什么自己的訪問行為和隱私數據突然會被“偷走”，域名沒輸錯，結果卻跑到了一個釣魚網站上？
回答這個問題，就不得不提下HTTPS，很多人對此感覺陌生，因為互聯網發展20多年，習慣了在瀏覽器地址里輸入HTTP格式的網址。前不久，百度搜索引擎也啟動了史上規模最大的一次“遷徙”，目標就是從HTTP切換到HTTPS上去，通俗來講，就是用戶搜索關鍵詞的數據請求和頁面訪問，會增加一個“數據加密”的技術，中間一些“傳輸”過程都被加密和認證，第三方無法獲取，這樣就輕松化解了數據被劫持、篡改的隱患。
想一下，過去的互聯網是一個單純的娛樂、游戲、社交的虛擬空間，但隨著移動互聯網的興起，特別是餐飲、電影、購物、金融理財，甚至是買汽車、租房、打車等生活服務，緊密地綁定在手機及網絡上時，人們不僅是單一的獲取信息，產品和服務的交易閉環也逐步成熟了。但這也進一步放大了數據安全、被劫持或泄露的風險。最近這兩年，頻頻出現的欺詐、數據泄露往往會引發大的經濟損失，也就是這個道理。
無疑，現在已經到了必須HTTPS化的時間了。
HTTPS是個什么樣的世界？
先看一下，百度這次都做了哪些工作。技術術語是全站HTTPS安全加密服務，即通過對傳統HTTP通道添加SSL安全套接層，將所有百度搜索請求全部變成加密狀態，以此解決“中間者”對用戶隱私的嗅探和劫持，為網友提供安全可靠的上網和搜索環境。
那么，HTTPS究竟是一個什么樣的世界呢？接下來先普及一下知識?？梢阅M一下通過互聯網訪問網站或服務的場景，每個訪問都是一次網絡連接鏈條的“接力游戲”，傳統HTTP模式下，搜索或訪問請求通過“明文信息”，經過中間的代理服務器、路由器、wifi熱點、服務運營商等“中間人”的通路，最終將數據或服務“取”回來。這個“中間”渠道就存在大量的數據泄露或劫持的風險，很多雙眼睛都盯著，幾乎步步驚心。HTTPS通過加密的形式，防止中途被劫持或篡改，規避了風險。
你可能會說，不就是做一個從HTTP到HTTPS的切換嗎？其實，背后卻是一個復雜的工程。拿百度來說，因為搜索幾乎是百度最核心的“內核”，連接了圖片、百科、知道、貼吧、Video、地圖等幾乎所有的產品，數億的用戶都會影響到，個性化推薦和千人千面的趨勢更如此，這就成了一件浩瀚的工程，而且還必須保持業務的連續性，不能中斷業務，穩定響應用戶請求，復雜度幾乎是難以想象的。所以，百度去年才會從小入手開始做小流量的測試，選擇用戶和應用負載小的入口開始。
那么，從技術角度看，難度主要體現在哪呢，類似IPV4到IPV6的升級。首先這是一次聯合作戰，涉及到的所有產品和部門技術聯合作戰，所有的鏈接資源都要切到HTTPS上，產生錯誤就會出現空白頁或訪問錯誤；二是速度優化，任何一個加密的過程，相當于多了一次SSL握手、RSA校驗，耗時變長，性能降低，而搜索頁面常態下保守也會有數十個資源鏈接，疊加在一起，會影響訪問及響應速度；三是即使全網切換，也要做好HTTPS和HTTP的過渡和兼容，referer、cookie等數據如何保持一致，避免出現訪問故障；四考慮到大多數網站，CDN的內容和應用的分發已是標配，這要求所有的CDN節點都支持HTTPS，如果非自建而是第三方，更增加了難度。
百度為什么要遷移到HTTPS？
大家可能會有一個疑問，既然這么復雜的工程，涉及到巨大的投入和成本，還給產品和業務帶來一定的風險，在國內大多數互聯網企業紛紛“避開”時，百度憑什么敢“越雷池一步”呢？我們主要從微觀和宏觀兩個層面探討下。
微觀層面，互聯網是一個奇怪的世界，水面下總是暗流涌動，就算是技術很強悍的百度，每天有來自于全球的數十億次的搜索請求，但其中不可避免地會有小部分的流量會遭劫持或篡改，由于區域分布散、廣等特點，很難完全解決。更不要提一些小網站，所以圈兒里也有專門做流量劫持和販賣的營生的。而反饋到用戶前端，常見的現象很多，一個是搜索結果頁被篡改或加載上廣告，謀取商業利益；一個是比如用戶剛搜了一個汽車，賣車的電話就找上門了。這都影響了用戶的搜索體驗，用戶會誤認為是百度泄露了數據，背了黑鍋。這樣灰色的利益鏈條很多，未來會高頻發生。
宏觀層面，未來的互聯網、移動互聯網越來越是一個服務交易的閉環鏈，意味著用戶對技術的依賴度日益提升，需要一個更安全的網絡承載環境，否則安全事件就會此起彼伏。另一方面，未來會是一個網絡鏈路日趨復雜的結構，WIFI熱點的普及和移動網絡的加入，放大了數據被劫持、篡改的風險。這兩點與傳統的HTTP的網絡鏈路模式間的矛盾日益突出。
以上兩個層面，決定了百度從核心搜索入手，進行HTTPS的大遷移，從長遠看，這就成了一場攻堅戰。
平臺遷移，應用層會更流暢過渡
其實，作為HTTP的安全版本，HTTPS并非是全新的。從全球來看，這絕對是巨頭推動的工程，因為短期看是投入大、回報少，還會影響用戶體驗，但長期看，對產業的積極意義明顯。與百度一樣，谷歌去年開始，由搜索和Chrome瀏覽器挑頭，推動往HTTPS協議的過渡，提醒網站明文傳輸的HTTP“不安全”。同樣，Facebook、Twitter也陸續在做這樣的嘗試。早早規劃HTTPS項目的百度這次大魄力推進，也是希望產業界認識到“HTTP = 不安全”的嚴重性。越是大企業，擔負的也就越多，責任意識也就越強。
放眼中國，推進互聯網HTTPS化，是一件關乎產業發展環境和生態的大事，就像空氣和土壤一樣，失去了這個，就動了根基。升級HTTPS需要聯動，基礎設施、網絡架構、底層服務提供商都要同步轉換，跨過所謂的緩存終結者、性能殺手等潛在矛盾。像BAT這樣級別的企業，最應該及早動手，為產業未來搭建一個安全、穩定、可靠的網絡環境。今天百度第一家站出來，敢于在核心搜索上“動手”，做出樣板和參考出來，也做了一個好的示范。
互聯網巨頭站出來，更容易帶動一批企業的整體切換，因為巨頭往往搭的是平臺和生態，上面跑著各種應用和服務提供商，只有平臺進行“遷移”，應用層自然會流暢過渡。很多技術上的難題都容易化解。
當然，百度第一個吃螃蟹，難免要做一些開路先鋒和修路搭橋的活兒，這或許也是其他同行們暫時觀望的理由。但如果放在中國互聯網和移動互聯網的頂層設計高度看，這件事最終會惠澤產業和生態，就沒理由只圍觀了。所以我們更期待看到在百度之后，更多的企業一起去推進完成HTTPS化的過程。
- ·房產互聯網變局：電商倒逼線下中介建O2O平臺2015.03.04
- ·微信支付取消商家保證金2014.09.18
- ·網絡安全與發展誰更重要2014.09.01
- ·未來電商出路2014.08.25
- ·利用互聯網創業，找準痛點是關鍵2015.06.29
