SSL延遲有多大？

據(jù)說，Netscape公司當(dāng)年設(shè)計(jì)SSL協(xié)議的時(shí)候，有人提過，將互聯(lián)網(wǎng)所有鏈接都變成HTTPs開頭的加密鏈接。

這個(gè)建議沒有得到采納，原因之一是HTTPs鏈接比不加密的HTTP鏈接慢很多。（另一個(gè)原因好像是，HTTPs鏈接默認(rèn)不能緩存。）

自從我知道這個(gè)掌故以后，腦袋中就有一個(gè)觀念：HTTPs鏈接很慢。但是，它到底有多慢，我并沒有一個(gè)精確的概念。直到今天我從一篇文章中，學(xué)到了測(cè)量HTTPs鏈接耗時(shí)的方法。

首先我解釋一下，為什么HTTPs鏈接比較慢。

HTTPs鏈接和HTTP鏈接都建立在TCP協(xié)議之上。HTTP鏈接比較單純，使用三個(gè)握手?jǐn)?shù)據(jù)包建立連接之后，就可以發(fā)送內(nèi)容數(shù)據(jù)了。

上圖中，客戶端首先發(fā)送SYN數(shù)據(jù)包，然后服務(wù)器發(fā)送SYN+ACK數(shù)據(jù)包，最后客戶端發(fā)送ACK數(shù)據(jù)包，接下來就可以發(fā)送內(nèi)容了。這三個(gè)數(shù)據(jù)包的發(fā)送過程，叫做TCP握手。

再來看HTTPs鏈接，它也采用TCP協(xié)議發(fā)送數(shù)據(jù)，所以它也需要上面的這三步握手過程。而且，在這三步結(jié)束以后，它還有一個(gè)SSL握手。

總結(jié)一下，就是下面這兩個(gè)式子。

HTTP耗時(shí) = TCP握手

HTTPs耗時(shí) = TCP握手 + SSL握手

所以，HTTPs肯定比HTTP耗時(shí)，這就叫SSL延遲。

命令行工具curl有一個(gè)w參數(shù)，可以用來測(cè)量TCP握手和SSL握手的具體耗時(shí)，以訪問支付寶為例。

$ curl -w "TCP handshake: %{time_connect}, SSL handshake: %{time_appconnect}\n" -so /dev/null https://www.alipay.com

TCP handshake: 0.022, SSL handshake: 0.064

上面命令中的w參數(shù)表示指定輸出格式，time_connect變量表示TCP握手的耗時(shí)，time_appconnect變量表示SSL握手的耗時(shí)（更多變量請(qǐng)查看文檔和實(shí)例），s參數(shù)和o參數(shù)用來關(guān)閉標(biāo)準(zhǔn)輸出。

從運(yùn)行結(jié)果可以看到，SSL握手的耗時(shí)（64毫秒）大概是TCP握手（22毫秒）的三倍。也就是說，在建立連接的階段，HTTPs鏈接比HTTP鏈接要長(zhǎng)3倍的時(shí)間，具體數(shù)字取決于CPU的快慢和網(wǎng)絡(luò)狀況。

所以，如果是對(duì)安全性要求不高的場(chǎng)合，為了提高網(wǎng)頁(yè)性能，建議不要采用保密強(qiáng)度很高的數(shù)字證書。一般場(chǎng)合下，1024位的證書已經(jīng)足夠了，2048位和4096位的證書將進(jìn)一步延長(zhǎng)SSL握手的耗時(shí)。