2. HTTPS на Почте@Mail.Ru

3. TCP/IP
Не защищенный
протокол!

4. Для чего нужен
защищенный протокол?
Local
Airport
Internet
Wi-Fi
Provider
Man In
The
Middle
Shopping
Center Network at
Wi-Fi work

5. Как работает защищенные соединение?
Browser Шифрование Server

6. SOCKET
SECURITY
LAYER
Ассиметричное
шифрование

7. Как работает SSL
Client Server
Public
Key

8. Как работает SSL
Random
Number
Client Server

9. Как работает SSL
Ключевые
Данные
Client Server

10. Сервер получает сертификат у Центра Сертификации (CA)
Server Sertificate

11. Сертификат – это пара – открытый ключ и закрытый ключ
Private
Key
Sertificate
Public
Key

12. Сервер – тот,
за кого себя выдает?
Root
Sertificate
Client
Public
Key

13. Как настроить HTTPS?
- В браузерах он уже есть
- В серверах оно тоже уже есть (в nginx, в частности)
- У сервера должен быть сертификат

14. Как настроить HTTPS?
Browser Server Sertificate
SS SS
L L

15. Как настроить HTTPS?
$
Sertificate

16. Так просто?
- Заказать сертификат
- Разложить его на сервера
- Включить опцию на nginx
- И это все???

17. Если ваш проект – это страница HelloWorld, то да, это все

18. А если это Почта@Mail.Ru, то не все!

19. Почему так? В чем отличие от HelloWorld?
В двух аспектах
1. Почта содержит много страниц (сотни), а HelloWorld всего одну
2. Почта работает под гигантской нагрузкой – сотни тысяч HTTP RPS

20. Как эти аспекты влияют?
1. Чтобы браузер не ругался, надо отдавать по HTTPS ВСЕ ДАННЫЕ
2. SSL потребляет ресурсы процессора и память

21. Что мы делали
1. Отдаем по HTTPS ВСЕ ДАННЫЕ
- Дорабатывали баннерную систему (RB)
- Поддержали SSL везде, где можем
- Заменили все ссылки на протоколонезависимые в тоннах шаблонов
- Разработали прокси картинок для SSL там, где мы не можем
2. Выдерживаем нагрузку
- Оптимизация
- Тьюнинг настроек SSL

22. Баннерная система
- Поддержка SSL
- Переговоры с партнерами, чтобы поставляли SSLные пиксели
- Автозапрет на создание не SSL-контента в SSL-ready проектах

23. Поддержка SSL везде, где можем
- Почтовые веб-сервера (фронты)
- Сервера, отдающие почтовую статику
- Сервера логирования клиентских ошибок и клиентской
Диагностики (радары)
- Сервера веб-агента
- Сервера фотохостинга Моего Мира (для аватарок)
- Сервера, отдающие атачи и их превью
- Умная поддержка SSL на мобильных устройствах
- Замена ссылок на протоколонезависимые
- Перевод всех счетчиков на SSL (li.ru, top, tns)

24. Прокси картинок там, где не можем
- Очень быстрая (асинхронный ввод-вывод, один поток)
- Асинхронный DNS-лукап
- Хождение по редиректам
- Защита от злоумышленников (шифрование параметров запроса)

25. Оптимизация
- Оптимизация кода (отдаем больше процессора под терминацию SSL)
- Новый nginx
- Увеличили количество воркеров нашего сервера auth c 2 до 4

26. Тьюнинг настроек SSL и nginx
- Keepalive
- SSL-Cache (ускоряет SSL-Handshake)
- Оптимизация random (чтобы было меньше iowait)
- Увеличили proxy_buffers в nginx с 4К до 16К
- Изменили SSL Cypher – на первое место поставили RC4
- Увеличили количество воркеров nginx с 4 до 8

27. СПАСИБО!
Денис Аникин
Технический Руководитель Почты@Mail.Ru
anikin@corp.mail.ru