文章目录
- HTTP有什么问题?
-
- [1. 明文传输,容易被窃听](#1. 明文传输,容易被窃听)
- [2. 无法验证通信方身份](#2. 无法验证通信方身份)
- [3. 数据完整性无法保证](#3. 数据完整性无法保证)
- HTTPS是如何解决这些问题的?
- HTTPS的工作原理
-
- [1. SSL/TLS握手](#1. SSL/TLS握手)
- [2. 数据加密传输](#2. 数据加密传输)
- [3. 完整性保护](#3. 完整性保护)
- [4. 连接关闭](#4. 连接关闭)
- 总结
HTTP有什么问题?
1. 明文传输,容易被窃听
HTTP传输的数据都是明文,就像在大街上裸奔一样。任何人在网络路径上都能看到你传输的内容。
2. 无法验证通信方身份
HTTP无法确认你访问的网站是不是真的。黑客可以很容易地伪造一个假的银行网站,你根本分不清真假。
3. 数据完整性无法保证
HTTP传输过程中,数据可能被篡改,而你完全不知道。比如你下载一个软件,结果被中间人植入了病毒。
HTTPS是如何解决这些问题的?
HTTPS = HTTP + TLS/SSL,它通过三个核心机制解决了HTTP的安全问题:
- 加密:数据传输过程中被加密,即使被截获也无法读取
- 认证:通过数字证书验证服务器身份
- 完整性校验:确保数据在传输过程中没有被篡改
HTTPS的工作原理
HTTPS的工作流程可以分为以下几个步骤:
1. SSL/TLS握手
当客户端访问一个HTTPS网站时,会触发SSL/TLS握手过程,以建立安全连接:
- 客户端Hello:
客户端向服务器发送支持的TLS版本、加密算法和随机数。
- 服务器Hello:
服务器回应支持的TLS版本、选择的加密算法、服务器证书(包含公钥)以及服务器生成的随机数。
- 证书验证:
客户端验证服务器证书的有效性(由受信任的证书颁发机构CA签发,检查是否过期、域名匹配等)。
- 密钥交换:
客户端生成一个会话密钥(用于对称加密),用服务器的公钥加密后发送给服务器。
服务器用私钥解密,获取会话密钥。
- 握手完成:
双方共享会话密钥,握手结束,进入加密通信阶段。
2. 数据加密传输
使用对称加密(如AES)对实际传输的数据(如网页内容、表单数据)进行加密。
对称加密速度快,适合大量数据传输,而非对称加密(如RSA)仅用于握手阶段的密钥交换。
数据通过会话密钥加密后传输,第三方无法解密。
3. 完整性保护
TLS使用消息摘要算法,确保数据在传输过程中未被篡改。
4. 连接关闭
数据传输完成后,双方可以通过发送关闭通知来安全终止连接。
总结
HTTPS通过SSL/TLS协议,在HTTP基础上添加了加密、身份验证和数据完整性保护。其核心是握手建立安全通道,使用非对称加密交换会话密钥,再用对称加密传输数据,确保通信安全。