Как обеспечить безопасность HTTP-соединений в Go-приложении с помощью HTTPS/TLS?

Ответ

Безопасность HTTP-соединений обеспечивается с помощью протокола HTTPS (HTTP Secure), который представляет собой HTTP, работающий поверх криптографического протокола TLS (Transport Layer Security) или его устаревшего предшественника SSL.

Основные принципы безопасности TLS:

Шифрование (Confidentiality): Данные, передаваемые между клиентом и сервером, шифруются, что делает их нечитаемыми для третьих лиц.
Аутентификация (Authentication): Сервер предоставляет клиенту цифровой сертификат, выданный доверенным центром сертификации (CA). Это доказывает, что сервер является тем, за кого себя выдает.
Целостность (Integrity): Используются криптографические хэш-функции (MAC) для проверки того, что данные не были изменены во время передачи.

Реализация в Go

Простейший способ запустить HTTPS-сервер — использовать http.ListenAndServeTLS:

package main

import (
    "log"
    "net/http"
)

func main() {
    http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
        w.Write([]byte("Это безопасное соединение!"))
    })

    // server.crt - публичный сертификат
    // server.key - приватный ключ
    err := http.ListenAndServeTLS(":443", "server.crt", "server.key", nil)
    if err != nil {
        log.Fatal("ListenAndServeTLS: ", err)
    }
}

Лучшие практики в Go:

Автоматическое получение сертификатов: Для публичных серверов используйте пакет golang.org/x/crypto/acme/autocert для автоматического получения и обновления бесплатных сертификатов от Let's Encrypt.

Тонкая настройка TLS: Для максимальной безопасности создайте кастомный http.Server и настройте tls.Config, чтобы указать минимальную версию TLS и предпочтительные наборы шифров.

tlsConfig := &tls.Config{
    MinVersion:               tls.VersionTLS12,
    CurvePreferences:         []tls.CurveID{tls.CurveP521, tls.CurveP384, tls.CurveP256},
    PreferServerCipherSuites: true,
}
server := &http.Server{
    Addr:      ":443",
    TLSConfig: tlsConfig,
}
log.Fatal(server.ListenAndServeTLS("server.crt", "server.key"))

HSTS (HTTP Strict Transport Security): Настройте заголовок Strict-Transport-Security, чтобы браузеры всегда подключались к вашему сайту по HTTPS.
Перенаправление с HTTP на HTTPS: Запустите отдельную горутину, которая слушает порт 80 и перенаправляет весь трафик на 443 порт.