作者：又拍云
HTTPS（全稱：HyperText Transfer Protocol over Secure Socket Layer）屯曹，其實(shí) HTTPS 并不是一個(gè)新鮮協(xié)議，Google 很早就開始啟用了密任，初衷是為了保證數(shù)據(jù)安全偷俭。 近兩年，Google涌萤、Baidu、Facebook 等這樣的互聯(lián)網(wǎng)巨頭透揣，不謀而合地開始大力推行 HTTPS川抡， 國內(nèi)外的大型互聯(lián)網(wǎng)公司很多也都已經(jīng)啟用了全站 HTTPS，這也是未來互聯(lián)網(wǎng)發(fā)展的趨勢(shì)侍咱。
為鼓勵(lì)全球網(wǎng)站的 HTTPS 實(shí)現(xiàn)密幔，一些互聯(lián)網(wǎng)公司都提出了自己的要求：
1）Google 已調(diào)整搜索引擎算法，讓采用 HTTPS 的網(wǎng)站在搜索中排名更靠前胯甩；
2）從 2017 年開始，Chrome 瀏覽器已把采用 HTTP 協(xié)議的網(wǎng)站標(biāo)記為不安全網(wǎng)站麸粮；
3）蘋果要求 2017 年 App Store 中的所有應(yīng)用都必須使用 HTTPS 加密連接镜廉；
4）當(dāng)前國內(nèi)炒的很火熱的微信小程序也要求必須使用 HTTPS 協(xié)議；
5）新一代的 HTTP/2 協(xié)議的支持需以 HTTPS 為基礎(chǔ)齐遵。
等等塔插，因此想必在不久的將來，全網(wǎng) HTTPS 勢(shì)在必行想许。
概念
協(xié)議
1断序、HTTP 協(xié)議（HyperText Transfer Protocol违诗，超文本傳輸協(xié)議）：是客戶端瀏覽器或其他程序與Web服務(wù)器之間的應(yīng)用層通信協(xié)議 疮蹦。
2、HTTPS 協(xié)議（HyperText Transfer Protocol over Secure Socket Layer）：可以理解為HTTP+SSL/TLS愕乎， 即 HTTP 下加入 SSL 層，HTTPS 的安全基礎(chǔ)是 SSL慎玖，因此加密的詳細(xì)內(nèi)容就需要 SSL笛粘，用于安全的 HTTP 數(shù)據(jù)傳輸湿硝。
如上圖所示 HTTPS 相比 HTTP 多了一層 SSL/TLS
SSL（Secure Socket Layer，安全套接字層）：1994年為 Netscape 所研發(fā)示括，SSL 協(xié)議位于 TCP/IP 協(xié)議與各種應(yīng)用層協(xié)議之間痢畜，為數(shù)據(jù)通訊提供安全支持。
TLS（Transport Layer Security吼拥，傳輸層安全）：其前身是 SSL线衫，它最初的幾個(gè)版本（SSL 1.0、SSL 2.0授账、SSL 3.0）由網(wǎng)景公司開發(fā)，1999年從 3.1 開始被 IETF 標(biāo)準(zhǔn)化并改名敛助，發(fā)展至今已經(jīng)有 TLS 1.0屋确、TLS 1.1续扔、TLS 1.2 三個(gè)版本评疗。SSL3.0和TLS1.0由于存在安全漏洞，已經(jīng)很少被使用到砌些。TLS 1.3 改動(dòng)會(huì)比較大加匈，目前還在草案階段，目前使用最廣泛的是TLS 1.1雕拼、TLS 1.2。
加密算法：
據(jù)記載偎球，公元前400年辑甜，古希臘人就發(fā)明了置換密碼；在第二次世界大戰(zhàn)期間猫牡，德國軍方啟用了“恩尼格瑪”密碼機(jī)邓线，所以密碼學(xué)在社會(huì)發(fā)展中有著廣泛的用途。
1骇陈、對(duì)稱加密
有流式、分組兩種归薛，加密和解密都是使用的同一個(gè)密鑰匪蝙。
例如：DES、AES-GCM千元、ChaCha20-Poly1305等
2颤绕、非對(duì)稱加密
加密使用的密鑰和解密使用的密鑰是不相同的祟身，分別稱為：公鑰物独、私鑰，公鑰和算法都是公開的婉陷，私鑰是保密的官研。非對(duì)稱加密算法性能較低，但是安全性超強(qiáng)戏羽，由于其加密特性，非對(duì)稱加密算法能加密的數(shù)據(jù)長(zhǎng)度也是有限的妄讯。
例如：RSA酷宵、DSA、ECDSA、 DH斩披、ECDHE
3、哈希算法
將任意長(zhǎng)度的信息轉(zhuǎn)換為較短的固定長(zhǎng)度的值煌抒，通常其長(zhǎng)度要比信息小得多厕倍，且算法不可逆。
例如：MD5况既、SHA-1组民、SHA-2、SHA-256 等
4臭胜、數(shù)字簽名
簽名就是在信息的后面再加上一段內(nèi)容（信息經(jīng)過hash后的值）癞尚，可以證明信息沒有被修改過乱陡。hash值一般都會(huì)加密后（也就是簽名）再和信息一起發(fā)送憨颠，以保證這個(gè)hash值不被修改。
詳解
一烙心、HTTP 訪問過程
抓包如下：
如上圖所示淫茵，HTTP請(qǐng)求過程中，客戶端與服務(wù)器之間沒有任何身份確認(rèn)的過程铆铆，數(shù)據(jù)全部明文傳輸丹喻，“裸奔”在互聯(lián)網(wǎng)上，所以很容易遭到黑客的攻擊碍论，如下：
可以看到鳍悠，客戶端發(fā)出的請(qǐng)求很容易被黑客截獲，如果此時(shí)黑客冒充服務(wù)器藏研，則其可返回任意信息給客戶端，而不被客戶端察覺弧岳，所以我們經(jīng)常會(huì)聽到一詞“劫持”业踏，現(xiàn)象如下：
下面兩圖中，瀏覽器中填入的是相同的URL瞎抛，左邊是正確響應(yīng)却紧，而右邊則是被劫持后的響應(yīng)
所以 HTTP 傳輸面臨的風(fēng)險(xiǎn)有：
（1） 竊聽風(fēng)險(xiǎn)：黑客可以獲知通信內(nèi)容胎撤。
（2） 篡改風(fēng)險(xiǎn)：黑客可以修改通信內(nèi)容断凶。
（3） 冒充風(fēng)險(xiǎn)：黑客可以冒充他人身份參與通信。
二肿男、HTTP 向 HTTPS 演化的過程
第一步：為了防止上述現(xiàn)象的發(fā)生却嗡，人們想到一個(gè)辦法：對(duì)傳輸?shù)男畔⒓用埽词购诳徒孬@，也無法破解）
如上圖所示如庭，此種方式屬于對(duì)稱加密撼港，雙方擁有相同的密鑰，信息得到安全傳輸往毡，但此種方式的缺點(diǎn)是：
（1）不同的客戶端靶溜、服務(wù)器數(shù)量龐大，所以雙方都需要維護(hù)大量的密鑰嗤详，維護(hù)成本很高
（2）因每個(gè)客戶端扣汪、服務(wù)器的安全級(jí)別不同锨匆，密鑰極易泄露
第二步：既然使用對(duì)稱加密時(shí)，密鑰維護(hù)這么繁瑣恐锣，那我們就用非對(duì)稱加密試試
如上圖所示土榴，客戶端用公鑰對(duì)請(qǐng)求內(nèi)容加密，服務(wù)器使用私鑰對(duì)內(nèi)容解密赫段，反之亦然，但上述過程也存在缺點(diǎn)：
（1）公鑰是公開的（也就是黑客也會(huì)有公鑰）糯笙，所以第 ④ 步私鑰加密的信息，如果被黑客截獲豺憔，其可以使用公鑰進(jìn)行解密够庙，獲取其中的內(nèi)容
第三步：非對(duì)稱加密既然也有缺陷，那我們就將對(duì)稱加密昼榛，非對(duì)稱加密兩者結(jié)合起來毅桃，取其精華、去其糟粕钥飞，發(fā)揮兩者的各自的優(yōu)勢(shì)
如上圖所示
（1）第 ③ 步時(shí)读宙，客戶端說：（咱們后續(xù)回話采用對(duì)稱加密吧，這是對(duì)稱加密的算法和對(duì)稱密鑰）這段話用公鑰進(jìn)行加密结闸，然后傳給服務(wù)器
（2）服務(wù)器收到信息后，用私鑰解密扎附，提取出對(duì)稱加密算法和對(duì)稱密鑰后结耀，服務(wù)器說：（好的）對(duì)稱密鑰加密
（3）后續(xù)兩者之間信息的傳輸就可以使用對(duì)稱加密的方式了
遇到的問題：
（1）客戶端如何獲得公鑰
（2）如何確認(rèn)服務(wù)器是真實(shí)的而不是黑客
第四步：獲取公鑰與確認(rèn)服務(wù)器身份
1图甜、獲取公鑰
（1）提供一個(gè)下載公鑰的地址，回話前讓客戶端去下載黑毅。（缺點(diǎn)：下載地址有可能是假的；客戶端每次在回話前都先去下載公鑰也很麻煩）
（2）回話開始時(shí)枕面，服務(wù)器把公鑰發(fā)給客戶端（缺點(diǎn)：黑客冒充服務(wù)器，發(fā)送給客戶端假的公鑰）
2掘猿、那有木有一種方式既可以安全的獲取公鑰唇跨，又能防止黑客冒充呢？ 那就需要用到終極武器了：SSL 證書（申購）
如上圖所示改橘，在第 ② 步時(shí)服務(wù)器發(fā)送了一個(gè)SSL證書給客戶端玉控，SSL 證書中包含的具體內(nèi)容有：
（1）證書的發(fā)布機(jī)構(gòu)CA
（2）證書的有效期
（3）公鑰
（4）證書所有者
（5）簽名
………
3、客戶端在接受到服務(wù)端發(fā)來的SSL證書時(shí)高诺，會(huì)對(duì)證書的真?zhèn)芜M(jìn)行校驗(yàn)，以瀏覽器為例說明如下：
（1）首先瀏覽器讀取證書中的證書所有者筏餐、有效期等信息進(jìn)行一一校驗(yàn)
（2）瀏覽器開始查找操作系統(tǒng)中已內(nèi)置的受信任的證書發(fā)布機(jī)構(gòu)CA牡拇，與服務(wù)器發(fā)來的證書中的頒發(fā)者CA比對(duì)，用于校驗(yàn)證書是否為合法機(jī)構(gòu)頒發(fā)
（3）如果找不到导俘，瀏覽器就會(huì)報(bào)錯(cuò)剔蹋，說明服務(wù)器發(fā)來的證書是不可信任的。
（4）如果找到泣崩，那么瀏覽器就會(huì)從操作系統(tǒng)中取出 頒發(fā)者CA 的公鑰律想，然后對(duì)服務(wù)器發(fā)來的證書里面的簽名進(jìn)行解密
（5）瀏覽器使用相同的hash算法計(jì)算出服務(wù)器發(fā)來的證書的hash值绍弟，將這個(gè)計(jì)算的hash值與證書中簽名做對(duì)比
（6）對(duì)比結(jié)果一致技即，則證明服務(wù)器發(fā)來的證書合法，沒有被冒充
（7）此時(shí)瀏覽器就可以讀取證書中的公鑰樟遣，用于后續(xù)加密了
4而叼、所以通過發(fā)送SSL證書的形式身笤，既解決了公鑰獲取問題，又解決了黑客冒充問題葵陵，一箭雙雕液荸，HTTPS加密過程也就此形成
所以相比HTTP，HTTPS 傳輸更加安全
（1） 所有信息都是加密傳播脱篙，黑客無法竊聽娇钱。
（2） 具有校驗(yàn)機(jī)制，一旦被篡改文搂，通信雙方會(huì)立刻發(fā)現(xiàn)。
（3） 配備身份證書秤朗，防止身份被冒充煤蹭。
總結(jié)
綜上所述，相比 HTTP 協(xié)議取视，HTTPS 協(xié)議增加了很多握手硝皂、加密解密等流程，雖然過程很復(fù)雜作谭，但其可以保證數(shù)據(jù)傳輸?shù)陌踩铩Ｋ栽谶@個(gè)互聯(lián)網(wǎng)膨脹的時(shí)代，其中隱藏著各種看不見的危機(jī)折欠，為了保證數(shù)據(jù)的安全姨裸，維護(hù)網(wǎng)絡(luò)穩(wěn)定，建議大家多多推廣HTTPS怨酝。
