在HTTP/1.1中升级到TLS(Upgrading to TLS Within HTTP/1.1)

<pre class="blockcode">本备忘录的状态 本文档为Internet社区定义Internet标准协议，同时征求改进意见和建议。关于本 协议的现状和标准化状态请参阅“Internet官方协议标准”(STD 1)。本备忘录的发布不受 任何限制。 版权声明 Copyright (C) The Internet Society (2000). All Rights Reserved. 摘要 本文档描述如何使用HTTP/1.1的升级机制在一个现存的TCP连接上发起安全传输 层(TLS)。这样就允许安全的和不安全的HTTP通信共享同一个众所周知的端口（在这 个例子中，http在80端口而不是在像https在443端口）。这种做法也支持“虚拟主 机”，因此一个HTTP+TLS服务器能区分发往在同一个IP地址上的几个主机的消息。 HTTP/1.1 [1]中将升级定义为逐跳的机制，本备忘录也描述了用于跨越HTTP代理 建立端到端隧道的HTTP CONNECT机制。最后，本备忘录为公用HTTP状态码和公用或 私有升级产品符号建立了新的IANA注册。 本备忘录不影响到当前“https”URI方案的定义，该方案已经定义了一个单独的 名字空间（http://example.org/ 和 https://example.org/ 不等价）。 目录 1. 动机 2 2．介绍 3 2.1. 相关术语 3 3. 客户请求升级到TLS之上的HTTP 3 3.1. 可选的升级 3 3.2. 强制升级 4 3.3 服务器对升级请求的确认 4 4 服务器请求升级到TLS之上的HTTP 4 4.1 选项通知 4 4.1 强制通知 4 5 通过代理的升级 5 6 使用4xx（客户错误）状态码的原理 6 7 IANA的考虑 6 7.1 HTTP状态码登记 7 安全考虑 7 7.1 https:URI方案含义 8 7.2 CONNECT的安全考虑 8 参考 8 作者地址 9 附录A　致谢 10 完整版权声明 10 致谢 11 1. 动机 过去在SSL3[3]上配置HTTP是用一个唯一的URI及TCP端口号，这样同单独的 HTTP相区分。方案“http”意味着在80端口单独的HTTP协议，而“https”表示在 443端口的SSL之上的HTTP协议。类似的，其它应用协议（例如：snews，ftps）为区 分安全和不安全的使用，要求使用二个端口号。这个方法使得可用的众所周知的端口 数减半。 在1997年12月华盛顿特区IETF会议上，应用区主管及IESG重申不赞成使用并行 的“安全”端口号。HTTP/1.1的升级机制可以在一个打开的HTTP连接上建立传输层安 全[6]。 自最近两年来，大家已经广泛接受了这个建议，但对实现一个取代通常的用于网 络浏览的443端口没有多大兴趣。实际上，本备忘录不影响当前对https:URI的解 释。但是，在HTTP之上建立的新的应用协议如Internet打印协议[7]，需要这样的机 制使得IETF标准化进程前进一步。 升级机制也解决了“虚拟主机”问题。HTTP/1.1服务器不是给一个主机分配多个 IP地址，而是使用主机：头来区分web服务。由于HTTP/1.1的使用日益流行，越来越 多的ISP提供基于名字的虚拟主机，使得IP地址空间不会马上耗尽。 TLS（及SSL）和HTTP的早期版本一样受制于：初始化的握手不指定需要的主机 名，而只依赖于IP地址。使用明文的HTTP/1.1升级：作为TLS握手的序幕，――基于 初始的主机：头选择证书，――可使得ISP同样能提供基于名字的安全虚拟主机。 2．介绍 TLS又名SSL（安全套接字层），建立一个私有端到端连接，选项包括使用多种密码系 统的相互之间的强认证。开始时，一次握手过程使用三个子协议来设置一个记录层，认证 端点，设置参数，和报告错误。然后，由一个分层记录协议处理加密，压缩和重组连接的 剩余部分。后者希望做成完全透明。例如，在TLS的记录标记或认证和HTTP/1.1的大块编 码或认证之间没有关联。 客房和服务器都能使用HTTP/1.1[1]升级机制（14.42节）来指示TLS安全连接是必要 的。本备忘录定义了“TLS/1.0”升级记号和一个新的HTTP状态码，“426－需要升级”。 小节3和小节4描述了直接相连的客房和服务器的操作。如小节5中阐述的，在实施任 何操作之前中间代理必须建立端到端的隧道。 2.1. 相关术语 在本文中的关键字“必须”，“必须不”，“要求”，“应该”，“不应该”和“可 能”的解释见[RFC2119]。 3. 客户请求升级到TLS之上的HTTP 当客户发送一个有包含记号“TLS/1.0”的升级包头的HTTP/1.1请求，它表示请 求服务器在转换到TLS/1.0之后完成当前的HTTP/1.1请求。 3.1. 可选的升级 当一个不安全的响应可接受时，一个客户在

在HTTP/1.1中升级到TLS(Upgrading to TLS Within HTTP/1.1)

浏览过的版块