這篇原理講的蠻好的https原理通俗理解
還有迪哥的這篇 簡(jiǎn)單粗暴系列之HTTPS
https就是http over ssl 涧衙。大致原理如下开睡。（還缺了一個(gè)自己畫的圖，以后補(bǔ)上）
1： 客戶端-》 服務(wù)器 信息傳輸不安全，需要加密
2：使用對(duì)稱加密方式A： 產(chǎn)生如下情況
客戶端A--- 對(duì)稱加密方式A -----服務(wù)器
客戶端B---- 對(duì)稱加密方式A ----- 服務(wù)器
所有的客戶端和服務(wù)器的鏈接都用同一種方式加密，無異于沒加密踩寇。
- 所以，解決方案是：
客戶端A--- 對(duì)稱加密方式A -----服務(wù)器
客戶端B---- 對(duì)稱加密方式B----- 服務(wù)器
客戶端和服務(wù)器之間使用不同的對(duì)稱加密方式六水。如何讓客戶端和服務(wù)器知道使用了什么那種對(duì)稱加密方式呢俺孙。
- 解決方案是：
客戶端A -------我要用加密算法A---> 服務(wù)端
客戶端A <---------我知道了--------- 服務(wù)端
客戶端B-------我要用加密算法B---> 服務(wù)端
客戶端B <------- 我知道了--------- 服務(wù)端
客戶端和服務(wù)器有一個(gè)協(xié)商的過程，協(xié)商使用那種加密方式和什么秘鑰掷贾。 產(chǎn)生的問題是協(xié)商的部分沒有加密睛榄。可以被中間人攔截想帅。
- 解決的方案：
使用非對(duì)稱加密方式场靴，對(duì)協(xié)商的部分加密。
客戶端（公鑰）------協(xié)商內(nèi)容（對(duì)稱加密方式和秘鑰）-----> 服務(wù)端（私鑰）
這樣有有一個(gè)問題 港准，客服端必須有這個(gè)公鑰旨剥，但是客戶端如何保證該公鑰的確是服務(wù)器給的公鑰，如下叉趣，客戶端獲取的公鑰可能被篡改
客戶端<---- 假公鑰<-----中間劫持（假公鑰泞边，假私鑰）<----真公鑰---服務(wù)器
中間劫持獲取服務(wù)端真公鑰,然后下發(fā)假公鑰，服務(wù)端使用假公鑰加密疗杉，中間劫持使用假私鑰解密阵谚，然后將信息篡改蚕礼，使用真公鑰加密后給服務(wù)端。
- 解決方案
如果一直加密下去也不是辦法梢什。 這時(shí)候需要一個(gè)第三方機(jī)構(gòu)來處理奠蹬。
客戶端 (本地存儲(chǔ)有第三方機(jī)構(gòu)的公鑰)<-- 使用第三方機(jī)構(gòu)的私鑰加密后的(我們的公鑰)---服務(wù)端
服務(wù)端發(fā)送給我們的 使用第三方機(jī)構(gòu)的私鑰加密后的 （我們協(xié)商要用的公鑰等信息）的東西稱為 證書。
這樣我們對(duì) 客戶端和服務(wù)器之間協(xié)商要用的自己的公鑰也進(jìn)行了加密嗡午，使用的是第三方機(jī)構(gòu)的私鑰囤躁。 而第三方機(jī)構(gòu)的公鑰存在我們本地不用傳輸，保證了不會(huì)被劫持和替換 荔睹。
如果服務(wù)器給我們的證書狸演，我們用本地的第三方公鑰解密不了，說明證書有問題僻他。
現(xiàn)在遇到一個(gè)問題宵距，如果同一個(gè)第三方機(jī)構(gòu)用同一個(gè)私鑰加密了我們要用的公鑰M，給了證書1吨拗， 也加密了中間劫持人的公約N满哪，給了證書2.
這時(shí)，中間劫持人可以解密我們的證書1劝篷， 然后給我們一個(gè)偽造或者
篡改后的證書2哨鸭，此時(shí)是同一個(gè)私鑰加密獲取的證書，客戶端還是可以解密證書2娇妓。
- 解決方案是：使用數(shù)字簽名來防止證書有問題
證書在發(fā)送到客戶端后像鸡，客戶端解密后， 對(duì)證書的 內(nèi)容進(jìn)行 一個(gè)簽名算法（md5等） 然后與證書自帶的 結(jié)果進(jìn)行比對(duì)峡蟋，可以保證證書沒有內(nèi)容沒有別篡改坟桅。
證書內(nèi)容 ---簽名算法MD5等--> 證書編號(hào)結(jié)果1 ==干签？ 證書自帶編號(hào)結(jié)果2
8.關(guān)于第三方機(jī)構(gòu)
到這里： 證書就是TTTPS中的數(shù)字證書
證書編號(hào)就是數(shù)字簽名
第三方機(jī)構(gòu)就是數(shù)字證書頒發(fā)機(jī)構(gòu)CA
CA的公鑰是如何存在客戶端的呢纵穿？
其實(shí)呢烁巫，現(xiàn)實(shí)中，瀏覽器和操作系統(tǒng)都會(huì)維護(hù)一個(gè)權(quán)威的第三方機(jī)構(gòu)列表（包括它們的公鑰）
CA如何將證書給我們的服務(wù)端的蓬戚？
簽合同-》付款-》 申請(qǐng)-》頒發(fā)。
- HTTP的簡(jiǎn)單實(shí)現(xiàn)流程（其實(shí)和上邊的原理一樣）
1宾抓、客戶端首先會(huì)將自己支持的加密算法子漩，打個(gè)包告訴服務(wù)器端。
2石洗、服務(wù)器端從客戶端發(fā)來的加密算法中幢泼，選出一組加密算法和HASH算法（注，HASH也屬于加密）讲衫，并將自己的身份信息以證書的形式發(fā)回給客戶端缕棵。而證書中包含了網(wǎng)站的地址，加密用的公鑰，以及證書的頒發(fā)機(jī)構(gòu)等招驴；
3篙程、客戶端收到了服務(wù)器發(fā)來的數(shù)據(jù)包后，會(huì)做這么幾件事情：
?1）驗(yàn)證一下證書是否合法别厘。一般來說虱饿，證書是用來標(biāo)示一個(gè)站點(diǎn)是否合法的標(biāo)志。如果說該證書由權(quán)威的第三方頒發(fā)和簽名的触趴，則說明證書合法氮发。
?2）如果證書合法，或者客戶端接受和信任了不合法的證書冗懦，則客戶端就會(huì)隨機(jī)產(chǎn)生一串序列號(hào)折柠，使用服務(wù)器發(fā)來的公鑰進(jìn)行加密。這時(shí)候批狐，一條返回的消息就基本就緒扇售。
?3）最后使用服務(wù)器挑選的HASH算法，將剛才的消息使用剛才的隨機(jī)數(shù)進(jìn)行加密嚣艇，生成相應(yīng)的消息校驗(yàn)值承冰，與剛才的消息一同發(fā)還給服務(wù)器。4食零、服務(wù)器接受到客戶端發(fā)來的消息后困乒，會(huì)做這么幾件事情：
?1）使用私鑰解密上面第2）中公鑰加密的消息，得到客戶端產(chǎn)生的隨機(jī)序列號(hào)贰谣。
?2）使用該隨機(jī)序列號(hào)娜搂，對(duì)該消息進(jìn)行加密，驗(yàn)證的到的校驗(yàn)值是否與客戶端發(fā)來的一致吱抚。如果一致則說明消息未被篡改百宇，可以信任。
?3）最后秘豹，使用該隨機(jī)序列號(hào)携御，加上之前第2步中選擇的加密算法，加密一段握手消息既绕，發(fā)還給客戶端啄刹。同時(shí)HASH值也帶上。5凄贩、客戶端收到服務(wù)器端的消息后誓军，接著做這么幾件事情：
?1）計(jì)算HASH值是否與發(fā)回的消息一致
?2）檢查消息是否為握手消息
握手結(jié)束后，客戶端和服務(wù)器端使用握手階段產(chǎn)生的隨機(jī)數(shù)以及挑選出來的算法進(jìn)行對(duì)稱加解密的傳輸疲扎。
??為什么不直接全程使用非對(duì)稱加密算法進(jìn)行數(shù)據(jù)傳輸昵时？這個(gè)問題的答案是因?yàn)榉菍?duì)稱算法的效率對(duì)比起對(duì)稱算法來說廓译，要低得多得多；因此往往只用在HTTPS的握手階段债查。
以下是我們一些經(jīng)常使用的加密算法
???非對(duì)稱加密算法：RSA, DSA/DSS
???對(duì)稱加密算法： AES, 3DES
???HASH算法：MD5, SHA1, SHA256
這就是HTTPS的基本原理非区。
