HTTPS 基本原理

HTTPS = HTTP + TLS/SSL，简单理解 HTTPS 其实就是在 HTTP 上面加多了一层安全层。HTTP 能够是 Http2.0 也能够是 Http1.1，不过如今 Http2.0 是强制要求使用 Https 的。

HTTPS 基本原理

首先须要一个第三方认证机构（CA认证），确保公钥的合法性（即证书，不合法的证书浏览器会警告），而后利用非对称加密（公钥私钥）方式加密并传输共享密钥到服务器，能够确保共享密钥没法被拦截被获取到（共享密钥被公钥加密了，只有对应的私钥才能解密，服务器有私钥），最终的客户端和服务端 HTTP 传输就是使用共享秘钥加密进行通讯。

HTTPS 流程图

首先，咱们先看下HTTPS 的整个流程。

HTTPS 是如何确保安全的？

• 使用非对称密钥（即公钥私钥）和对称密钥（即共享密钥）相结合

  经过公钥私钥的方式，避免了共享密钥发送途中被第三方拦截获取密钥的安全问题。

  经过公钥和私钥加密创建保护层（即 SSL 保护层），后续的 Http 请求就会使用共享密钥进行加密通讯（共享的密钥已经被 SSL 保护起来了，外面没法拦截到），即所谓的安全层。

  因此创建了安全层后，即便 HTTP 报文被拦截到，也没法解密。

• CA 认证

  因为公钥这个环节是公开的，存在被替换的风险，因此就有了第三方证书认证公司（CA认证），浏览器经过判断证书是否有效。

  通常系统或者浏览器都会内置信任的根证书（这些 CA 组织都是很是可信的），浏览器能够根据这个根证书判断网站的证书是否合法。

  证书若是不合法，那么久浏览器就会警告，都是不给访问的证书不合法的网站，除非用户跳过这个警告。