關於https的一些瞭解

https是安全版的http協議（超文本傳輸安全協議），它是http和ssl協議的綜合版，能夠有效的防止信息在網絡傳輸過程當中遭到竊取和篡改的可能性。

傳統的http協議有哪些缺點呢？

1. 通訊使用明文傳輸，內容可能被竊取
   明文信息很容易使用抓包軟件抓取
   如何防止？加密處理防止竊聽
   . 對通訊的內容進行加密（這也有被竄改的風險）。
   . 對通訊加密，不一樣於上面的內容的加密。https是SSL（安全套接層）或TLS（安全傳輸層協議）和HTTP協議組合使用，它可使用SSL創建一個安全的通訊線路，在進行http請求。

2. 不能驗證通訊方的身份，所以可能遭到假裝
   . 沒法肯定請求發送給目標服務器是不是按照正確的意圖進行返回，可能存在假裝的服務器
   . 沒法肯定響應的服務器發送給的客戶端，是不是真正要接受響應的按個客戶端。有多是假裝的客戶端
   . 沒法斷定請求來自何方，出自誰手
   . 沒法肯定正在通訊的對方是否具有訪問權限。可能某些服務器可能只想讓特定的用戶訪問到。
   . 即便無心義的請求也會照單全收。Dos攻擊
   如何防止？ 查明對方的證書
   SSL技術不只使用加密處理，還有證書手段來肯定通訊方。證書有第三方權威機構辦法，用來證實服務器和客戶端的真實性。只須要在通訊前確認對方證書的可靠性，就能保證要通訊的對方是本身要想的。

3. 沒法證實報文的完整性， 全部有可能被篡改
   . 接受到的信息沒法肯定是和發送方發送的信息相同的，攻擊者能夠經過中間人攻擊竊取請求或者響應消息進行修改。
   如何防止？
   . 採用MD5和SHA-1等散列值校驗方法對信息進行數字簽名。常常看到的文件下載網站如

   image.png
   
   這種依然須要使用用戶自己確認下載結果的可靠性，沒法經過瀏覽器來進行驗證。 並且若是數字簽名也被修改，用戶是沒法知道的。

HTTP + 加密 + 認證 + 完整性保護 = HTTPS

加密

1. 對稱加密（也叫共享密鑰加密）顧名思義通訊雙方使用同一個密鑰的方式。這種方式有個弊端就是必須將密鑰發送給對方。這裏會有安全風險，密鑰落入攻擊者手裏安全傳輸就失去來意義。
2. 非對稱加密就是使用公開密鑰加密，它有效的解決了對稱加密必須使用傳輸密鑰給地方的弊端。由於有兩把密鑰（公開密鑰：全部人都知道的密鑰和私有密鑰：只有本身知道的密鑰）。發送方想接受方發送消息前，先使用接受方的公開密鑰加密，而後發送給接受方， 接受方接受到消息後，使用本身的私有密鑰進行解析。同時返回響應消息時，接受方使用發送方的公開密鑰加密響應消息，發送方接受到響應消息使用本身的私有密鑰解密，獲得響應消息。這樣就進行了一次安全傳輸。
3. https的混合加密機制
   首先使用公開密鑰加密（非對稱加密）的方式安全的獲得共享密鑰加密（對稱加密）中要使用的密鑰，在確保交換的密鑰是安全的前提下，使用共享密鑰加密的方式進行傳輸通訊。

認證

使用公開加密（非對稱加密）也會存在一些問題，沒法確認它確實是貨真價實的公開密鑰。