HTTPS 原理：https://baijiahao.baidu.com/s?id=1570143475599137&wfr=spider&for=pc
一 义钉、HTTPS連接過程及中間人攻擊原理
HTTPS 協(xié)議（HyperText Transfer Protocol over Secure Socket Layer）：可以理解為HTTP+SSL/TLS仙逻， 即 HTTP 下加入 SSL 層拒啰。HTTP+加密+認(rèn)證+完整保護(hù)=HTTPS
HTTPS 的連接過程如下所示：
1.https請求
客戶端向服務(wù)端發(fā)送https請求;
2.生成公鑰和私鑰
服務(wù)端收到請求之后，生成公鑰和私鑰电谣。公鑰相當(dāng)于是鎖，私鑰相當(dāng)于是鑰匙蛔钙，只有私鑰才能夠打開公鑰鎖住的內(nèi)容;
3.返回公鑰
服務(wù)端將公鑰(證書)返回給客戶端储矩，公鑰里面包含有很多信息感耙，比如證書的頒發(fā)機(jī)構(gòu)、過期時間等等;
4.客戶端驗證公鑰
客戶端收到公鑰之后持隧，首先會驗證其是否有效即硼，如頒發(fā)機(jī)構(gòu)或者過期時間等，如果發(fā)現(xiàn)有問題就會拋出異常屡拨，提示證書存在問題只酥。如果沒有問題，那么就生成一個隨機(jī)值呀狼，作為客戶端的密鑰裂允，然后用服務(wù)端的公鑰加密;
5.發(fā)送客戶端密鑰
客戶端用服務(wù)端的公鑰加密密鑰，然后發(fā)送給服務(wù)端哥艇。
6.服務(wù)端收取密鑰绝编，對稱加密內(nèi)容
服務(wù)端收到經(jīng)過加密的密鑰，然后用私鑰將其解密貌踏，得到客戶端的密鑰十饥，然后服務(wù)端把要傳輸?shù)膬?nèi)容和客戶端的密鑰進(jìn)行對稱加密，這樣除非知道密鑰祖乳，否則無法知道傳輸?shù)膬?nèi)容绷跑。
7.加密傳輸
服務(wù)端將經(jīng)過加密的內(nèi)容傳輸給客戶端。
8.獲取加密內(nèi)容凡资，解密
客戶端獲取加密內(nèi)容后砸捏，用之前生成的密鑰對其進(jìn)行解密，獲取到內(nèi)容隙赁。
中間人劫持攻擊
https也不是絕對安全的垦藏，如下圖所示為中間人劫持攻擊，中間人可以獲取到客戶端與服務(wù)器之間所有的通信內(nèi)容伞访。
中間人截取客戶端發(fā)送給服務(wù)器的請求掂骏，然后偽裝成客戶端與服務(wù)器進(jìn)行通信;將服務(wù)器返回給客戶端的內(nèi)容發(fā)送給客戶端，偽裝成服務(wù)器與客戶端進(jìn)行通信厚掷。
通過這樣的手段弟灼，便可以獲取客戶端和服務(wù)器之間通信的所有內(nèi)容。
使用中間人攻擊手段冒黑，必須要讓客戶端信任中間人的證書田绑，如果客戶端不信任，則這種攻擊手段也無法發(fā)揮作用抡爹。
二掩驱、中間人攻擊的預(yù)防
造成中間人劫持的原因是 沒有對服務(wù)端證書及域名做校驗或者校驗不完整，為了方便，直接采用開源框架默認(rèn)的校驗方式進(jìn)行https請求
OKhttp3.0
預(yù)防方法：
預(yù)防方式有兩種
1 欧穴、針對安全性要求比較高的 app民逼，可采取客戶端預(yù)埋證書的方式鎖死證書，只有當(dāng)客戶端證書和服務(wù)端的證書完全一致的情況下才允許通信涮帘，如一些銀行類的app拼苍，但這種方式面臨一個問題，證書過期的問題调缨，因證書有一定的有效期映屋，當(dāng)預(yù)埋證書過期了，只有通過強(qiáng)制更新或者要求用戶下載證書來解決同蜻。
生成 經(jīng)過ssl校驗及 域名校驗的connection
2 針對安全性要求一般的app棚点，可采用通過校驗域名，證書有效性湾蔓、證書關(guān)鍵信息及證書鏈的方式
以volley為例瘫析，重寫HTTPSTrustManager 中的checkServerTrusted 方法，同時開啟域名強(qiáng)校驗
三默责、Webview的HTTPS安全
目前很多應(yīng)用都用webview加載H5頁面贬循，如果服務(wù)端采用的是可信CA頒發(fā)的證書，在 webView.setWebViewClient(webviewClient) 時重載 WebViewClient的onReceivedSslError() 桃序，如果出現(xiàn)證書錯誤杖虾，直接調(diào)用handler.proceed()會忽略錯誤繼續(xù)加載證書有問題的頁面，如果調(diào)用handler.cancel()可以終止加載證書有問題的頁面媒熊，證書出現(xiàn)問題了奇适，可以提示用戶風(fēng)險，讓用戶選擇加載與否芦鳍，如果是需要安全級別比較高嚷往，可以直接終止頁面加載，提示用戶網(wǎng)絡(luò)環(huán)境有風(fēng)險：
不建議直接用handler.proceed()柠衅。如果webview加載https需要強(qiáng)校驗服務(wù)端證書皮仁，可以在 onPageStarted() 中用 HttpsURLConnection 強(qiáng)校驗證書的方式來校驗服務(wù)端證書，如果校驗不通過停止加載網(wǎng)頁菲宴。當(dāng)然這樣會拖慢網(wǎng)頁的加載速度贷祈，需要進(jìn)一步優(yōu)化，具體優(yōu)化的辦法不在本次討論范圍喝峦，這里也不詳細(xì)講解
總結(jié)
- 建議自定義實現(xiàn)X509TrustManager時势誊，在checkServerTrusted中對服務(wù)器信息進(jìn)行嚴(yán)格校驗
- 在重寫WebViewClient的onReceivedSslError方法時，避免調(diào)用proceed忽略證書驗證錯誤信息繼續(xù)加載頁面
- 在自定義實現(xiàn)HostnameVerifier時愈犹，在verify中對Hostname進(jìn)行嚴(yán)格校驗
- 建議setHostnameVerifier方法中使用STRICT_HOSTNAME_VERIFIER進(jìn)行嚴(yán)格證書校驗键科，避免使用ALLOW_ALL_HOSTNAME_VERIFIER
