HTTP的缺點(diǎn)
- 通信使用明文（不加密）掘鄙，內(nèi)容可能會被竊聽 不驗(yàn)證通信方的身份，因此有可能遭遇偽裝 無法證明報(bào)文的完整性郊愧，所以有可能已遭篡改
TCP/IP 是可能被竊聽的網(wǎng)絡(luò)
- 按 TCP/IP 協(xié)議族的工作機(jī)制，通信內(nèi)容在所有的通信線路上都有 可能遭到窺視。
- 即使已經(jīng)過加密處理的通信瘦真，也會被窺視到通信內(nèi)容，這點(diǎn)和未 加密的通信是相同的黍瞧。只是說如果通信經(jīng)過加密诸尽，就有可能讓人 無法破解報(bào)文信息的含義
加密處理防止被竊聽
- 一種方式就是將通信加密。HTTP 協(xié)議中沒有加密機(jī)制印颤，但可以通過和 SSL（Secure Socket Layer您机，安全套接層）或 TLS（Transport Layer Security，安全層傳輸協(xié)議）的組合使用年局。與 SSL組合使用的 HTTP 被稱為 HTTPS（HTTP Secure际看，超文本傳輸安全協(xié)議）或 HTTP over SSL
- 內(nèi)容的加密，還有一種將參與通信的內(nèi)容本身加密的方式矢否，即把 HTTP 報(bào)文里所含的內(nèi)容進(jìn)行加密處理仲闽。
HTTP 協(xié)議中的請求和響應(yīng)不會對通信方進(jìn)行確認(rèn)
- 在 HTTP 協(xié)議通信時(shí)，由于不存在確認(rèn)通信方的處理步驟僵朗，任何 人都可以發(fā)起請求赖欣。服務(wù)器只要接收到請求，不管對方是 誰都會返回一個(gè)響應(yīng)
- 有可能是已偽裝的 Web 服務(wù) 器衣迷。
- 有可能是已偽裝的客戶端畏鼓。
- 無法確定正在通信的對方是否具備訪問權(quán)限。
- 即使是無意義的請求也會照單全收壶谒。無法阻止海量請求 下的 DoS 攻擊
DoS攻擊(拒絕服務(wù))是指故意的攻擊網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)的缺陷或直接通過野蠻手段殘忍地耗盡被攻擊對象的資源云矫，目的是讓目標(biāo)計(jì)算機(jī)或網(wǎng)絡(luò)無法提供正常的服務(wù)或資源訪問，使目標(biāo)系統(tǒng)服務(wù)系統(tǒng)停止響應(yīng)甚至崩潰汗菜，而在此攻擊中并不包括侵入目標(biāo)服務(wù)器或目標(biāo)網(wǎng)絡(luò)設(shè)備让禀。這些服務(wù)資源包括網(wǎng)絡(luò)帶寬挑社，文件系統(tǒng)空間容量，開放的進(jìn)程或者允許的連接巡揍。這種攻擊會導(dǎo)致資源的匱乏痛阻，無論計(jì)算機(jī)的處理速度多快、內(nèi)存容量多大腮敌、網(wǎng)絡(luò)帶寬的速度多快都無法避免這種攻擊帶來的后果阱当。【DDOS是DOS攻擊中的一種方法糜工”滋恚】
- 查明對手的證書。雖然使用 HTTP 協(xié)議無法確定通信方捌木，但如果使用 SSL則可以油坝。 SSL不僅提供加密處理，而且還使用了一種被稱為證書的手段刨裆， 可用于確定方澈圈。
無法證明報(bào)文完整性，可能已遭篡改
- 接收到的內(nèi)容可能有誤帆啃。比如瞬女，從某個(gè) Web 網(wǎng)站上下載內(nèi)容，是無法確定客戶端下載的 文件和服務(wù)器上存放的文件是否前后一致的链瓦。文件內(nèi)容在傳輸途 中可能已經(jīng)被篡改為其他的內(nèi)容拆魏。
- 如何防止篡改盯桦。為了有效防止這些弊端慈俯，有必要使用 HTTPS。SSL提供認(rèn)證和加 密處理及摘要功能拥峦。
HTTPS
HTTP 加上加密處理和認(rèn)證以及完整性保護(hù)后即是 HTTPS
HTTPS 是身披 SSL 外殼的 HTTP
- SSL是獨(dú)立于 HTTP 的協(xié)議贴膘，所以不光是 HTTP 協(xié)議，其他運(yùn)行在應(yīng) 用層的 SMTP 和 Telnet 等協(xié)議均可配合 SSL協(xié)議使用略号⌒滔浚可以說 SSL是 當(dāng)今世界上應(yīng)用最為廣泛的網(wǎng)絡(luò)安全技術(shù)
相互交換密鑰的公開密鑰加密技術(shù)
- 共享密鑰加密
- 使用兩把密鑰的公開密鑰加密 共有/私有
