https为何能保证安全性

http传输以下：

此时信息是明文传输，若是信息被人截获，则能看到里面的内容，极不安全

那就须要对内容加密，过程以下：

1. 浏览器生成一个秘钥
2. 浏览器向服务器请求公钥
3. 服务器向浏览器发送它的公钥
4. 浏览器接收服务器发送的公钥，并使用公钥加密随机生成的对称密钥，发送给服务器
5. 服务器接收浏览器发送的数据，用自身私钥，获得对称加密密钥
6. 最后，浏览器和服务器能够使用对称密钥加密内容进行通讯

但此方案仍会存在安全隐患，在第三步和第四步之间，若是被一个中间人获取到它的公钥，浏览器使用中间人的公钥加密对称密钥，发送给服务器，中间人再次截获数据，获取其中的对称密钥。浏览器和服务器在双方数据都不知情的状况下，数据内容被窥探。

问题的重点在于，第三步浏览器没法获得公钥的来源的合法性，这就须要数字证书了。这就是https的解决方案
服务端单单发送公钥，而是发送包含公钥的数字证书。
数字证书由第三方机构颁发，浏览器已经维护了全部知名的第三方机构。

浏览器如何肯定公钥的合法性？

1. 在接收数字证书时，查看证书的有效期
2. 根据数字证书的第三方机构名称，找到对应的公钥，解密数字签字，获得hash1
3. 根据服务端网址等信息，使用签名算法，生成hash2
4. 若是hash1等于hash2，则公钥合法

公钥和私钥的相关知识
公钥和私钥是一对密钥对，它们能够互解密。使用公钥加密，私钥解密。能有效保证数据的安全性。可是若是使用私钥加密，公钥解密呢，则能够肯定来源的合法性。由于只有知道私钥才能加密，若是咱们能使用公钥解密获得正常内容（内容是否正确就是比较hash1和hash2），那么对方必定是拥有私钥的主机，而私钥是由第三方颁发给服务器的，这就是数字签名。

OSI七层
物理层->数据链路层->网络层->传输层->会话层->表示层->应用层
https的ssl位于传输层和应用层之间