HTTP + 通訊加密 + 認證機制 + 保護報文完整型 = HTTPS

前言

做爲開發，先後端交互離不開網絡通訊，咱們平常使用的HTTP(S)，你真的瞭解嗎？嘗試回答下面的問題，看看有沒有遇到你的短板。若是還有問題不明白，就請繼續閱讀本文，我來爲你答疑解惑。

• 什麼是HTTP，它有哪些缺陷？
• TCP/IP是什麼，有哪些協議層，幾回握手？
• 什麼是公鑰、私鑰，爲何須要公鑰私鑰，以及什麼是（非）對稱密鑰加密？
• 什麼是證書，爲何須要證書，證書是個什麼東西？
• 什麼是HTTPS，跟HTTP有什麼區別？

HTTP

HTTP（超文本傳輸協議）最初是做爲 Web 文檔傳輸協議。它出現的主要目的是爲了解決文本傳輸的難題。因爲協議自己很是簡單，因而在此基礎上加了不少應用方法投入了實際使用。

HTTP至關方便，然而 HTTP 並不是只有好的一面，它也有不足之處。 主要不足以下：

• 通訊使用明文可能會被竊聽
• 不驗證通訊方的身份可能遭遇假裝
• 沒法證實報文的完整型，可能已遭篡改

TCP/IP

TCP/IP 是個協議族，TCP和IP是兩種協議， 一般咱們稱 TCP/IP 爲TCP/IP協議。最重要的一點是它是分層的：應用層、傳輸層、網絡層和數據鏈路層。

HTTPS

今天的大BOSS來了，解決完HTTP的缺陷問題，就是HTTPS（超文本傳輸安全協議）了。睜大眼睛往下看。

加密處理防止被竊聽

針對HTTP的 問題一：通訊使用明文可能會被竊聽，設計加密，加密的對象有那麼幾個：通訊的加密 + 內容加密。

通訊的加密

HTTP協議中沒有加密機制，和SSL（Secure Socket Layer）組合使用，加密HTTP的通訊內容。用SSL創建安全通訊線路，就能夠在這條線路上通訊了。與SSL組合使用的HTTP就被稱爲 HTTPS（超文本傳輸安全協議）。

安全通訊圖

內容加密

針對HTTP協議傳輸的內容自己加密。HTTP報文：報文首部 + 報文主體，報文首部不作加密處理，報文主體的內容會被加密處理。前提須要客戶端和服務器同時具有加密和解密機制。

驗證通訊方的身份，查明對方的證書

HTTP協議中的請求和響應不會對通訊方進行確認。任何人均可以發起請求。沒法肯定目標客戶端和目標服務器。HTTP不能夠，可是SSL可協議經過證書的手段能夠肯定對方。

證書：是值得信任的第三方機構頒發的，用以證實服務器和客戶端是實際存在的。

爲何證書就能確認呢？由於僞造證書從技術角度來異常困難，因此只要可以確認通訊方持有的證書，就能夠判斷通訊方的真實意圖，

確認報文的完整性

請求或者響應的內容遭到篡改，HTTP是沒辦法確認的。

請求或者響應在傳播途中，遭攻擊者攔截並篡改內容的攻擊稱爲中間人。

HTTP直接和TCP通訊，當使用了SSL時，則演變成先和SSL通訊，再由SSL和TCP通訊。所謂的HTTPS，其實就是身披SSL協議的外殼的HTTP。就目前來講，SSL是當今世界上應用最爲普遍的網絡安全技術。

加密技術

共享密鑰加密

加密和界別同用一個密鑰的方式稱爲共享密鑰加密，也叫作對稱密鑰加密。只要拿到密鑰，任何人都能破解密鑰。

存在的問題：

• 發送密鑰有被監聽的風險，不發送，對方就不能解密；
• 怎樣安全的發送密鑰，保管密鑰。

使用兩把密鑰的公開密鑰加密

公開密鑰使用一對非對稱加密的密鑰。一把叫作私有密鑰，一把叫作公開密鑰。公開密鑰能夠隨意的公開，私有密鑰不能讓別人知道。

使用公開密鑰進行加密，通訊對方收到被加密的密文，用私鑰進行解密，這就就不用將密鑰發送來發送去了。

HTTPS 採用混合加密機制

HTTPS使用了二者並用的混合加密機制，利用二者的優點，組合起來用戶通訊。在交換密鑰環節使用開發密鑰加密方法，以後的創建通訊交換報文階段則使用共享密鑰加密方式。

如何證實公開密鑰的正確性呢

公開密鑰加密存在一些問題，沒法證實公開密鑰就是貨真價實的公開密鑰。爲了解決這個問題，能夠是使用由數字證書認證機構和其它相關機關頒發的公開密鑰證書。

由公開密鑰申請，數字證書認證機構會對公開密鑰作數字簽名。公鑰證書也叫作數字證書或證書。客戶端經過私鑰來進行驗證。一旦驗證經過，客戶端即可明確了兩件事：

1. 認證服務器的公開密鑰是真實有效的數字證書認證機構。
2. 服務器的開發密鑰值得信賴。

咱們本身給瀏覽器安裝的證書 — 自簽名證書

一般咱們開發HTTPS的項目的時候，瀏覽器訪問就會提示：沒法確認鏈接安全性 或者 該網站的安全證書存在問題。影響咱們開發，咱們採用自簽名證書來解決這個問題。

自簽名證書你們都會生成安裝吧，這裏就不贅述了。

如今回頭看看上面問題，都能解答了吧。筆者最近在閱讀《圖解HTTP》，此次將 HTTPS 相關知識進行梳理總結，方便之後查看，文中插圖均來自此書。此書圖文結合，淺顯易懂，推薦你們也讀一下。