HTTPS 原理详解

https原理：证书传递、验证和数据加密、解密过程解析

 

咱们都知道HTTPS可以加密信息，以避免敏感信息被第三方获取。因此不少银行网站或电子邮箱等等安全级别较高的服务都会采用HTTPS协议。

 

HTTPS简介

HTTPS实际上是有两部分组成：HTTP + SSL / TLS，也就是在HTTP上又加了一层处理加密信息的模块。服务端和客户端的信息传输都会经过TLS进行加密，因此传输的数据都是加密后的数据。具体是如何进行加密，解密，验证的，且看下图。

1. 客户端发起HTTPS请求

这个没什么好说的，就是用户在浏览器里输入一个https网址，而后链接到server的443端口。

2. 服务端的配置

采用HTTPS协议的服务器必需要有一套数字证书，能够本身制做，也能够向组织申请。区别就是本身颁发的证书须要客户端验证经过，才能够继续访问，而使用受信任的公司申请的证书则不会弹出提示页面(startssl就是个不错的选择，有1年的免费服务)。这套证书其实就是一对公钥和私钥。若是对公钥和私钥不太理解，能够想象成一把钥匙和一个锁头，只是全世界只有你一我的有这把钥匙，你能够把锁头给别人，别人能够用这个锁把重要的东西锁起来，而后发给你，由于只有你一我的有这把钥匙，因此只有你才能看到被这把锁锁起来的东西。

3. 传送证书

这个证书其实就是公钥，只是包含了不少信息，如证书的颁发机构，过时时间等等。

4. 客户端解析证书

这部分工做是有客户端的TLS来完成的，首先会验证公钥是否有效，好比颁发机构，过时时间等等，若是发现异常，则会弹出一个警告框，提示证书存在问题。若是证书没有问题，那么就生成一个随即值。而后用证书对该随机值进行加密。就好像上面说的，把随机值用锁头锁起来，这样除非有钥匙，否则看不到被锁住的内容。

5. 传送加密信息

这部分传送的是用证书加密后的随机值，目的就是让服务端获得这个随机值，之后客户端和服务端的通讯就能够经过这个随机值来进行加密解密了。

6. 服务段解密信息

服务端用私钥解密后，获得了客户端传过来的随机值(私钥)，而后把内容经过该值进行对称加密。所谓对称加密就是，将信息和私钥经过某种算法混合在一块儿，这样除非知道私钥，否则没法获取内容，而正好客户端和服务端都知道这个私钥，因此只要加密算法够彪悍，私钥够复杂，数据就够安全。

7. 传输加密后的信息

这部分信息是服务段用私钥加密后的信息，能够在客户端被还原

8. 客户端解密信息

客户端用以前生成的私钥解密服务段传过来的信息，因而获取了解密后的内容。整个过程第三方即便监听到了数据，也一筹莫展。

做者：朱祁林
出处：http://zhuqil.cnblogs.com 
本文版权归做者和博客园共有，欢迎转载，但未经做者赞成必须保留此段声明，且在文章页面明显位置给出原文链接，不然保留追究法律责任的权利。

 

SSL的位置

SSL介于应用层和TCP层之间。应用层数据再也不直接传递给传输层，而是传递给SSL层，SSL层对从应用层收到的数据进行加密，并增长本身的SSL头。

 

 

RSA性能是很是低的，缘由在于寻找大素数、大数计算、数据分割须要耗费不少的CPU周期，因此通常的HTTPS链接只在第一次握手时使用非对称加密，经过握手交换对称加密密钥，在以后的通讯走对称加密。

 

http://www.cnblogs.com/ttltry-air/archive/2012/08/20/2647898.html

 

HTTPS在传输数据以前须要客户端（浏览器）与服务端（网站）之间进行一次握手，在握手过程当中将确立双方加密传输数据的密码信息。TLS/SSL协议不只仅是一套加密传输的协议，更是一件通过艺术家精心设计的艺术品，TLS/SSL中使用了非对称加密，对称加密以及HASH算法。握手过程的具体描述以下：

1.浏览器将本身支持的一套加密规则发送给网站。 
2.网站从中选出一组加密算法与HASH算法，并将本身的身份信息以证书的形式发回给浏览器。证书里面包含了网站地址，加密公钥，以及证书的颁发机构等信息。 
3.浏览器得到网站证书以后浏览器要作如下工做： 
a) 验证证书的合法性（颁发证书的机构是否合法，证书中包含的网站地址是否与正在访问的地址一致等），若是证书受信任，则浏览器栏里面会显示一个小锁头，不然会给出证书不受信的提示。 
b) 若是证书受信任，或者是用户接受了不受信的证书，浏览器会生成一串随机数的密码，并用证书中提供的公钥加密。 
c) 使用约定好的HASH算法计算握手消息，并使用生成的随机数对消息进行加密，最后将以前生成的全部信息发送给网站。 
4.网站接收浏览器发来的数据以后要作如下的操做： 
a) 使用本身的私钥将信息解密取出密码，使用密码解密浏览器发来的握手消息，并验证HASH是否与浏览器发来的一致。 
b) 使用密码加密一段握手消息，发送给浏览器。 
5.浏览器解密并计算握手消息的HASH，若是与服务端发来的HASH一致，此时握手过程结束，以后全部的通讯数据将由以前浏览器生成的随机密码并利用对称加密算法进行加密。

      这里浏览器与网站互相发送加密的握手消息并验证，目的是为了保证双方都得到了一致的密码，而且能够正常的加密解密数据，为后续真正数据的传输作一次测试。另外，HTTPS通常使用的加密与HASH算法以下：

      非对称加密算法：RSA，DSA/DSS 
      对称加密算法：AES，RC4，3DES 
      HASH算法：MD5，SHA1，SHA256

 

 

总结：

服务器 用RSA生成公钥和私钥

把公钥放在证书里发送给客户端，私钥本身保存

客户端首先向一个权威的服务器检查证书的合法性，若是证书合法，客户端产生一段随机数，这个随机数就做为通讯的密钥，咱们称之为对称密钥，用公钥加密这段随机数，而后发送到服务器

服务器用密钥解密获取对称密钥，而后，双方就已对称密钥进行加密解密通讯了

 

 

SSL的位置

SSL介于应用层和TCP层之间。应用层数据再也不直接传递给传输层，而是传递给SSL层，SSL层对从应用层收到的数据进行加密，并增长本身的SSL头。

 

 

RSA性能是很是低的，缘由在于寻找大素数、大数计算、数据分割须要耗费不少的CPU周期，因此通常的HTTPS链接只在第一次握手时使用非对称加密，经过握手交换对称加密密钥，在以后的通讯走对称加密。