HTTP协议(二):HTTPS

作者: 小小的白菜 | 来源:发表于2018-09-26 10:46 被阅读497次

    HTTPS 协议(HyperText Transfer Protocol over Secure Socket Layer):可以理解为HTTP+SSL/TLS, 即 HTTP下加入 SSL 层,HTTPS的安全基础是 SSL,因此加密的详细内容就需要 SSL,用于安全的 HTTP 数据传输。

    HTTPS和HTTP的区别

    • HTTPS协议需要到CA申请证书,一般免费证书较少,因而需要一定费用。
    • HTTP是超文本传输协议,信息是明文传输,HTTPS则是具有安全性的SSL加密传输协议。
    • HTTPHTTPS使用的是完全不同的连接方式,用的端口也不一样,前者是80,后者是443
    • HTTP的连接很简单,是无状态的;HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议,比HTTP协议安全。

    HTTP的不足

    • 窃听风险:黑客可以获知通信内容。
    • 篡改风险:黑客可以修改通信内容。
    • 冒充风险:黑客可以冒充他人身份参与通信。

    SSL

    SSLSecure Socket Layer,安全套接字层):1994年为 Netscape 所研发,SSL 协议位于 TCP/IP协议与各种应用层协议之间,为数据通讯提供安全支持。

    TLS

    TLSTransport Layer Security):其前身是SSL,它最初的几个版本(SSL 1.0SSL 2.0SSL 3.0)由网景公司开发,1999年从 3.1开始被IETF 标准化并改名,发展至今已经有 TLS 1.0TLS 1.1TLS 1.2 三个版本。SSL3.0TLS1.0由于存在安全漏洞,已经很少被使用到。TLS 1.3改动会比较大,目前还在草案阶段,目前使用最广泛的是TLS 1.1TLS 1.2

    加密算法

    对称加密

    对称加密算法非常简单,只要加密方和解密方都拥有同一密钥(可为128192256 bit大小的密钥,密钥越长,加密解密时间越长,解密难度也越高),即可完成加密解密过程,且假设无法强制对加密过的明文进行解密。

    非对称加密

    加密使用的密钥和解密使用的密钥是不相同的,分别称为:公钥、私钥,公钥和算法都是公开的,私钥是保密的。非对称加密算法性能较低,但是安全性超强,由于其加密特性,非对称加密算法能加密的数据长度也是有限的。例如:RSADSAECDSADHECDHE

    哈希算法

    将任意长度的信息转换为较短的固定长度的值,通常其长度要比信息小得多,且算法不可逆。例如:MD5SHA-1SHA-2SHA-256 等。

    数字签名

    签名就是在信息的后面再加上一段内容(信息经过hash后的值),可以证明信息没有被修改过。hash值一般都会加密后(也就是签名)再和信息一起发送,以保证这个hash值不被修改。

    HTTP 向 HTTPS 演化的过程

    第一步:对传输的信息加密

    对称加密

    此种方式属于对称加密,双方拥有相同的密钥,信息得到安全传输,但此种方式的缺点是:

    • 不同的客户端、服务器数量庞大,所以双方都需要维护大量的密钥,维护成本很高。
    • 因每个客户端、服务器的安全级别不同,密钥极易泄露。

    第二步:非对称加密

    非对称性加密

    客户端用公钥对请求内容加密,服务器使用私钥对内容解密,反之亦然,但上述过程也存在缺点:

    • 公钥是公开的(也就是黑客也会有公钥),所以第 ④ 步私钥加密的信息,如果被黑客截获,其可以使用公钥进行解密,获取其中的内容。

    第三步:对称加密,非对称加密两者结合

    对称加密,非对称加密两者结合
    • 第 ③ 步时,客户端说:(咱们后续回话采用对称加密吧,这是对称加密的算法和对称密钥)这段话用公钥进行加密,然后传给服务器。
    • 服务器收到信息后,用私钥解密,提取出对称加密算法和对称密钥后,服务器说:(好的)对称密钥加密。
    • 后续两者之间信息的传输就可以使用对称加密的方式了。
    遇到的问题
    • 客户端如何获得公钥?
    • 如何确认服务器是真实的而不是黑客?

    第四步:获取公钥与确认服务器身份

    设想
    • 提供一个下载公钥的地址,回话前让客户端去下载。(缺点:下载地址有可能是假的;客户端每次在回话前都先去下载公钥也很麻烦)。
    • 回话开始时,服务器把公钥发给客户端(缺点:黑客冒充服务器,发送给客户端假的公钥)。
    SSL 证书
    SSL
    • 在第 ② 步时服务器发送了一个SSL证书给客户端,SSL证书中包含的具体内容有:
      • 证书的发布机构CA
      • 证书的有效期
      • 公钥
      • 证书所有者
      • 签名
    浏览器认证

    客户端在接受到服务端发来的SSL证书时,会对证书的真伪进行校验,以浏览器为例说明如下

    • 首先浏览器读取证书中的证书所有者、有效期等信息进行一一校验。
    • 浏览器开始查找操作系统中已内置的受信任的证书发布机构CA,与服务器发来的证书中的颁发者CA比对,用于校验证书是否为合法机构颁发。
    • 如果找不到,浏览器就会报错,说明服务器发来的证书是不可信任的。
    • 如果找到,那么浏览器就会从操作系统中取出 颁发者CA的公钥,然后对服务器发来的证书里面的签名进行解密。
    • 浏览器使用相同的hash算法计算出服务器发来的证书的hash值,将这个计算的hash值与证书中签名做对比。
    • 对比结果一致,则证明服务器发来的证书合法,没有被冒充。
    • 此时浏览器就可以读取证书中的公钥,用于后续加密了。

    HTTPS 缺点:

    • SSL证书费用很高,以及其在服务器上的部署、更新维护非常繁琐。
    • HTTPS 降低用户访问速度(多次握手)。
    • 网站改用HTTPS以后,由HTTP跳转到HTTPS的方式增加了用户访问耗时(多数网站采用302跳转)。
    • HTTPS涉及到的安全算法会消耗 CPU 资源,需要增加大量机器(HTTPS访问过程需要加解密)。

    HTTPS 的工作流程

    客户端在使用HTTPS方式与Web服务器通信时有以下几个步骤:

    HTTPS 的工作流程
    • 客户使用HTTPSURL访问Web服务器,要求与Web服务器建立SSL连接。
    • Web服务器收到客户端请求后,会将网站的证书信息(证书中包含公钥)传送一份给客户端。
    • 客户端的浏览器与Web服务器开始协商SSL连接的安全等级,也就是信息加密的等级。
    • 客户端的浏览器根据双方同意的安全等级,建立会话密钥,然后利用网站的公钥将会话密钥加密,并传送给网站。
    • Web服务器利用自己的私钥解密出会话密钥。
    • Web服务器利用会话密钥加密与客户端之间的通信。

    参考文章

    【HTTP】HTTPS 原理详解
    看图学HTTPS
    HTTPS 的故事
    白话https
    手把手HTTPS

    相关文章

      网友评论

      本文标题:HTTP协议(二):HTTPS

      本文链接:https://www.haomeiwen.com/subject/cqbqoftx.html