一分钟理解 HTTPS 到底解决了什么问题
本文原做者“虞大胆的叽叽喳喳”，原文连接：jianshu.com/p/8861da5734ba，感谢原做者。php
一、引言
不少人一提到 HTTPS，第一反应就是安全，对于普通用户来讲这就足够了；html
但对于程序员，颇有必要了解下 HTTP 到底有什么问题？以及HTTPS 是如何解决这些问题的？其背后的解决思路和方法是什么？程序员
本文只作简单的描述，力求简单明了的阐明主要内容，由于HTTPS 体系很是复杂，这么短的文字是没法作到很详细和精准的分析。想要详细了解HTTPS的方方面面，能够阅读此前即时通信网整理的《即时通信安全篇（七）：若是这样来理解HTTPS，一篇就够了》一文。算法
（本文同步发布于：http://www.52im.net/thread-2027-1-1.html）编程
二、HTTPS相关文章
《即时通信安全篇（七）：若是这样来理解HTTPS，一篇就够了》浏览器
《一文读懂Https的安全性原理、数字证书、单项认证、双项认证等》安全
《HTTPS时代已来，打算更新你的HTTP服务了吗？》服务器
《苹果即将强制实施 ATS，你的APP准备好切换到HTTPS了吗？》微信
三、对HTTPS性能的理解
HTTP 有典型的几个问题，第一就是性能，HTTP 是基于 TCP 的，因此网络层就不说了（快慢不是 HTTP 的问题）。网络
比较严重的问题在于 HTTP 头是不能压缩的，每次要传递很大的数据包。另外 HTTP 的请求模型是每一个链接只能支持一个请求，因此会显得很慢。
那么 HTTPS 是解决这些问题的吗？
不是，实际上 HTTPS 是在 HTTP 协议上又加了一层，会更慢，相信将来会逐步解决的。同时 HTTPS 用到了不少加密算法，这些算法的执行也是会影响速度的。
为何说 HTTPS 提高了性能呢？由于只有支持了 HTTPS，才能部署 HTTP/2，而 HTTP/2 协议会提高速度，可以有效减轻客户端和服务器端的压力，让响应更快速。有关HTTP/2详细文章能够看看《从HTTP/0.9到HTTP/2：一文读懂HTTP协议的历史演变和设计思路》、《脑残式网络编程入门(四)：快速理解HTTP/2的服务器推送(Server Push)》，这里只要知道一点：HTTP/2 可以加快速度的主要缘由在于多路复用，同一个链接可以并行发送和接收多个请求。
四、传统HTTP的安全性问题
当用户在浏览器输入一个网址的时候，在地址栏上看到小锁图标，就会安心，潜意识的认为本身的上网行为是安全的，固然对于小白用户来讲可能还不明白，可是将来会慢慢改善的（万事开头难嘛）。
那么 HTTP 到底有什么安全问题呢，看几个例子：
1）因为互联网传输是可以被拦截的，因此假如你的上网方式被别人控制了（没有绝对的安全），那么你的任何行为和信息攻击者都会知道，好比咱们连上一个匿名的 WIFI，当你上网的时候，输入的网站密码可能就已经泄漏了；
2）当咱们在上一个网站的时候，莫名其妙跳出一个广告（这个广告并非这个网站的），那是由于访问的页面可能被运营商强制修改了（加入了他本身的内容，好比广告）。
HTTP 最大的问题就在于数据没有加密，以及通讯双方没有办法进行身份验证（ confidentiality and authentication），因为数据没有加密，那么只要数据包被攻击者劫持，信息就泄漏了。
身份验证的意思就是服务器并不知道链接它的客户端究竟是谁，而客户端也不肯定他链接的服务器就是他想链接的服务器，双方之间没有办法进行身份确认。
有关HTTP比较好的文章，能够看看：
五、HTTPS 背后的密码学
为了解决 HTTP 的两个核心问题，HTTPS 出现了，HTTPS 包含了核心的几个部分：TLS 协议、OpenSSL，证书。
什么是 OpenSSL 呢，它实现了世界上很是重要和多的密码算法，而密码学是解决问题最重要的一个环节。
TLS 最重要的是握手的处理方式。证书的体系也很大，可是他们背后都是基于一样的密码学。
1）既然 HTTP 没有数据加密，那么咱们就加密下，对称加密算法上场了，这种算法加密和解密要使用同一个密钥，通讯双方须要知道这个密钥（或者每次协商一个），实际上这种方法不太可能，这涉及到密钥保密和配送的问题，一旦被攻击者知道了密钥，那么传输的数据等同没有加密。
2）这个时候非对称加密算法上场了，公钥和私钥是分开的，客户端保存公钥，服务器保存私钥（不会公开），这时候好像可以完美解决问题了。
但实际上会存在两个问题，第一就是非对称加密算法运算很慢，第二就是会遇到中间人攻击问题。
先说说中间人攻击的问题，假如使用非对称加密算法，对于客户端来讲它拿到的公钥可能并非真正服务器的公钥，由于客户端上网的时候可能不会仔细分辨某个公钥是和某个公司绑定的，假如错误的拿到攻击者的公钥，那么他发送出去的数据包被劫持后，攻击者用本身的私钥就能反解了。
3）接下来如何解决公钥认证的问题呢？证书出现了，证书是由 CA 机构认证的，客户端都充分信任它，它可以证实你拿到的公钥是特定机构的，而后就能使用非对称加密算法加密了。
证书是怎么加密的呢？实际上也是经过非对称加密算法，可是区别在于证书是用私钥加密，公钥解密。
CA 机构会用本身的私钥加密服务器用户的公钥，而客户端则用 CA 机构的公钥解出服务器的公钥。听上去有点晕，仔细体会下。这方面的知识，能够详细阅读：《即时通信安全篇（七）：若是这样来理解HTTPS，一篇就够了》。
4）上面说了非对称加密算法加密解密很是耗时，对于 HTTP 这样的大数据包，速度就更慢了，这时候可使用对称加密算法，这个密钥是由客户端和服务器端协商出来，并由服务器的公钥进行加密传递，因此不存在安全问题。
5）另外客户端拿到证书后会验证证书是否正确，它验证的手段就是经过 Hash 摘要算法，CA 机构会将证书信息经过 Hash 算法运算后再用私钥加密，客户端用 CA 的公钥解出后，再计算证书的 Hash 摘要值，二者一致就说明验证身份经过。
6）HTTPS 解决的第三个问题是完整性问题，就是信息有没有被篡改（信息可以被反解），用的是 HMAC 算法，这个算法和 Hash 方法差很少，可是须要传递一个密钥，这个密钥就是客户端和服务器端上面协商出来的。
附录：更多安全方面的文章
《即时通信安全篇（一）：正确地理解和使用Android端加密算法》
《即时通信安全篇（四）：实例分析Android中密钥硬编码的风险》
《即时通信安全篇（五）：对称加密技术在Android平台上的应用实践》
《传输层安全协议SSL/TLS的Java平台实现简介和Demo演示》
《理论联系实际：一套典型的IM通讯协议设计详解（含安全层设计）》
《微信新一代通讯安全解决方案：基于TLS1.3的MMTLS详解》
《来自阿里OpenIM：打造安全可靠即时通信服务的技术实践分享》
《Web端即时通信安全：跨站点WebSocket劫持漏洞详解(含示例代码)》
《IM开发基础知识补课(四)：正确理解HTTP短链接中的Cookie、Session和Token》
《即时通信安全篇（七）：若是这样来理解HTTPS原理，一篇就够了》
>> 更多同类文章 ……
（本文同步发布于：http://www.52im.net/thread-2027-1-1.html）
- 1. 一分钟理解 HTTPS 到底解决了什么问题
- 2. 迈向HTTPS（四）HTTPS到底解决了什么问题
- 3. ZooKeeper 到底解决了什么问题？
- 4. Promise到底解决了什么问题？
- 5. Google BigTable到底解决什么问题？
- 6. vue 3.0 到底解决了什么问题？
- 7. Spark到底解决了什么根本性的技术问题？
- 8. 内存池到底为咱们解决了什么问题
- 9. Flex布局到底解决了什么问题
- 10. 中台是什么，到底要解决什么问题？
- 更多相关文章...
- • SVN 解决冲突 - SVN 教程
- • Redis悲观锁解决高并发抢红包的问题 - 红包项目实战
- • PHP Ajax 跨域问题最佳解决方案
- • IntelliJ IDEA中SpringBoot properties文件不能自动提示问题解决
-
每一个你不满意的现在，都有一个你没有努力的曾经。
- 1. vs2019运行opencv图片显示代码时，窗口乱码
- 2. app自动化 - 元素定位不到？别慌，看完你就能解决
- 3. 在Win8下用cisco ××× Client连接时报Reason 422错误的解决方法
- 4. eclipse快速补全代码
- 5. Eclipse中Java/Html/Css/Jsp/JavaScript等代码的格式化
- 6. idea+spring boot +mabitys(wanglezapin)+mysql (1)
- 7. 勒索病毒发生变种 新文件名将带有“.UIWIX”后缀
- 8. 【原创】Python 源文件编码解读
- 9. iOS9企业部署分发问题深入了解与解决
- 10. 安装pytorch报错CondaHTTPError：******