随着互联网的普及和发展，数据传输的安全性变得越来越重要。在这个背景下，HTTPS（Hypertext Transfer Protocol Secure）作为一种安全的HTTP协议，逐渐取代了传统的HTTP协议。很多人认为HTTPS的主要优势在于其比HTTP更安全，但HTTPS的强大远不止于此。

HTTPS工作原理

HTTPS是在HTTP的基础上通过SSL/TLS协议提供安全通信的协议。HTTPS的工作原理涉及到加密、身份验证和数据完整性等多个方面。

SSL（Secure Sockets Layer）和TLS（Transport Layer Security）是为网络通信提供安全保障的协议。TLS是SSL的升级版。SSL/TLS协议主要包括三个方面的功能：

•加密：确保数据在传输过程中不会被窃听。

•身份验证：确保通信双方的身份真实可信。

•数据完整性：确保数据在传输过程中没有被篡改。

HTTPS通信的开始阶段是客户端与服务器之间的握手过程。握手过程是HTTPS安全通信的基础，其主要步骤如下：

客户端向服务器发送一个Hello消息，其中包含：

•支持的SSL/TLS版本。

•支持的加密算法套件。

•随机数（用于生成会话密钥）。

服务器接收到客户端的Hello消息后，向客户端回应一个Hello消息，其中包含：

•选择的SSL/TLS版本。

•选择的加密算法套件。

•服务器的数字证书（包含服务器的公钥）。

•随机数（用于生成会话密钥）。

服务器向客户端发送其数字证书。数字证书由权威的CA（证书颁发机构）签发，包含服务器的公钥和身份信息。客户端验证证书的有效性，以确认服务器的身份。

客户端生成一个随机数，并使用服务器的公钥对该随机数进行加密，然后将加密后的随机数发送给服务器。该随机数将用作对称加密的会话密钥。

服务器使用私钥解密客户端发送的随机数，生成会话密钥。此时，客户端和服务器都持有相同的会话密钥。服务器向客户端发送一个完成握手的消息。

客户端收到服务器的完成握手消息后，向服务器发送一个完成握手的消息。至此，握手过程结束，客户端和服务器可以使用对称加密算法进行安全通信。

在握手过程完成后，HTTPS通信进入数据传输阶段。所有的数据在传输过程中都使用会话密钥进行对称加密。传输的数据还会附加消息摘要，以确保数据的完整性。

客户端和服务器使用握手过程中生成的会话密钥对数据进行加密。对称加密算法常见的有AES、DES等。加密后的数据在网络上传输，即使被截获也无法解密。

为了确保数据在传输过程中没有被篡改，HTTPS使用消息摘要算法（如SHA-256）生成数据的摘要。接收方对收到的数据进行摘要计算，并与发送方附带的摘要进行比较，若一致则数据未被篡改。

HTTPS的安全机制

HTTPS采用对称加密和非对称加密结合的方式保证数据传输的安全性。

•对称加密：使用相同的密钥进行加密和解密，速度快，但密钥传输不安全。

•非对称加密：使用公钥和私钥进行加密和解密，安全性高，但速度慢。HTTPS在握手过程中使用非对称加密传输对称加密密钥，结合两者的优势。

HTTPS通过消息摘要算法（如SHA-256）确保数据在传输过程中未被篡改。服务器和客户端分别对数据进行摘要计算，若计算结果一致，则数据未被篡改。

HTTPS使用数字证书验证服务器身份。数字证书由权威的CA（证书颁发机构）颁发，确保服务器的合法性。客户端通过验证证书的有效性，防止中间人攻击。

HTTPS到底比HTTP强在哪里

明文传输 vs. 加密传输

•HTTP：HTTP协议下，所有数据都是以明文形式传输的。这意味着在数据传输的过程中，任何中间人都可以轻易地截获和读取这些数据。例如，当你在使用HTTP协议的网页上输入密码时，这个密码在传输过程中是完全没有加密保护的。

•HTTPS：HTTPS使用SSL/TLS协议对数据进行加密传输。即使数据在传输过程中被截获，攻击者也无法轻易解密数据。加密传输保障了数据的私密性，防止敏感信息泄露。

对称加密和非对称加密

•对称加密：HTTPS握手过程生成的会话密钥用于对称加密传输数据。对称加密算法速度快，适合大量数据的加密传输。

•非对称加密：在握手过程中，HTTPS使用非对称加密算法（如RSA）安全地交换会话密钥。非对称加密算法安全性高，但速度较慢。

无身份验证 vs. 数字证书

•HTTP：HTTP协议没有任何机制来验证服务器的身份，这使得用户容易受到钓鱼攻击和中间人攻击。例如，攻击者可以伪装成合法的网站，诱骗用户输入敏感信息。

•HTTPS：HTTPS使用数字证书验证服务器身份。数字证书由权威的CA（证书颁发机构）签发，包含服务器的公钥和身份信息。客户端在与服务器建立连接前，会先验证证书的有效性，以确保服务器的真实身份，防止用户访问假冒网站。

防止中间人攻击

•HTTP：由于HTTP数据未加密且无身份验证机制，攻击者可以在用户和服务器之间插入恶意代理，截获或篡改数据。

•HTTPS：HTTPS的加密和身份验证机制有效地防止了中间人攻击。只有持有合法私钥的服务器才能解密握手过程中传输的会话密钥，确保数据在传输过程中的安全性和完整性。

无数据完整性保证 vs. 消息摘要

•HTTP：HTTP协议没有内置的数据完整性检查机制，数据在传输过程中可能被篡改而不被察觉。例如，攻击者可以在数据传输过程中篡改网页内容，插入恶意代码。

•HTTPS：HTTPS使用消息摘要算法（如SHA-256）确保数据在传输过程中未被篡改。发送方和接收方对数据进行摘要计算，若计算结果一致，说明数据未被篡改。

防止篡改和伪造

•HTTP：由于没有数据完整性检查机制，HTTP协议下的数据容易被篡改和伪造。

•HTTPS：HTTPS的消息摘要和加密机制确保了数据在传输过程中的完整性和真实性。任何对数据的篡改都会导致摘要不匹配，接收方可以检测到数据被篡改。

本文来自公众号：运维漫谈

原文阅读