啥是HTTPS？？终于有人把它说清楚了

做者：极客挖掘机
来源：
https://www.cnblogs.com/babyc...

引言

最近上海连续下了一周雨，温度一晚上之间回到解放前，穿夏装的我被冻得瑟瑟发抖，躲在家里哪也不想去。

在家百无聊赖的刷着网页，看到公众号后台的留言，有同窗问我 HTTP 和 HTTPS 有啥区别？

这还用问，固然是 HTTPS 要比 HTTP 更加的安全啊，没看到后面带着个 S 呢么，带着 S 就这么 NB 。

而后同窗的下一个问题把我问懵逼了，为啥带 S 的更安全呢？能详细的讲讲么。

我跟你讲嗷，不是我吹，我这么多年。。。。。。

就没见过你这么刨根究底的同窗，老问这种我也不是很清楚的问题。

虽然这个问题问的我老脸一红，可是我有一种不要脸的精神 「我不会，可是我能够学」 。

HTTP

首先先来了解下 HTTP ：

HTTP 协议全称为：Hyper Text Transfer Protocol ，翻译过来就是超文本传输协议，请不要质疑这个翻译，我专门用百度翻译翻了一下。

TCP/IP 四层模型应该都知道的，有数据链路层，网络层，传输层和应用层：

而 HTTP 协议就是位于 TCP/IP 四层模型的应用层上。

这里不少人都会混淆 TCP 和 HTTP ，实际上 HTTP 是基于 TCP 链接基础上的。

简单的说， TCP 就是单纯创建链接，不涉及任何咱们须要请求的实际数据，简单的传输。而 HTTP 是用来收发数据，即实际应用上来的。

HTTP 协议经过请求和响应在客户端和服务端之间收发数据，进行通讯：

HTTPS

HTTP 协议看起来好像没啥问题，惟一的问题就是不够安全，由于 HTTP 协议的传输方式彻底是由明文传输的，不作任何加密，这就让一些不怀好意的人有了可乘之机。

这种传输方式诱发了一种经典的攻击方式：中间人攻击。

对于这种状况，最简单的咱们可使用加密方案，好比使用 AES 加密，服务端和客户端先约定一个随机生成的密钥 key ，后续的通讯中，全部的信息都使用这个密钥进行 AES 加密：

这样虽而后面的通讯过程安全了，可是咱们在第一发送 AES 密钥的时候仍是存在被中间人拦截的风险，一旦中间人拦截到咱们的密钥，可用对密钥进行更换或者直接解密请求内容：

这时咱们可使用不对称加密，来专门对密钥的传输作一次额外的保护。

不对称加密会有两个密钥，一个是公钥，一个是私钥。明文可使用公钥加密私钥解密，也可使用私钥加密公钥解密。

如今比较通用的非对称加密算法有 RSA 。

看到这里的同窗必定在奇怪，既然都使用了不对称加密，为啥只对 AES 的密钥作不对称加密，好像有画蛇添足，彻底能够对后续全部的通讯信息全都使用不对称加密。

由于不对称加密相比较对称加密性能上存在明显的劣势，可能你以为在一个请求中多消耗几 ms 或者几 ns 无所谓，可是请求到达服务端是要进行解密，每一个请求都多消耗几 ms 累计起来仍是很是可观的。

上面这个方案看起来已经很安全了，中间人即便拦截到咱们的公钥，因为不知道咱们的私钥貌似也没办法解密。

实际上中间人彻底不须要解密咱们的信息，他能够生成一对新的公私钥发送给客户端进行攻击，后续客户端的通讯中间人使用本身创造的私钥进行解密，而后经过服务端生成的公钥进行加密返回给服务端：

CA 证书

上面的问题咱们仅经过客户端和服务端已经没办法了，这时候须要引入新的第三方机构，一个颁发 CA 证书的机构。

常见的第三方 CA 机构有：Symantec（赛门铁克），Comodo（科莫多），GeoTrust（环度网信），GoDaddy，Thawte，daoRapidSSL 等等。

在中间人攻击中，咱们遇到的问题不是加密算法不够神奇，不是密钥方式不够严谨，而是咱们没有办法向咱们的客户端代表咱们给他的公钥是咱们的，是否是很像我没办法证实我是个人问题。

因此第三方机构应运而生，第三方机构只作一件事情，将服务端的公钥刻上了咱们的名字（CA 证书），客户端接收到公钥以后，只须要来第三方机构这里查询，就能知道这个公钥是否是真的服务器，而后再将本身生成的 AES 密钥使用 CA 证书中解密获得的公钥进行加密后发送给服务端。

最后服务端使用私钥解密获得 AES 密钥，就能够愉快的和客户端进行通讯了。

最后的最后，CA 机构验证不是每次都要去 CA 机构查询。这样作太傻了并且太耗时，尤为是不少 CA 机构的服务都在海外，这样一来一去消耗的时间太多了。

CA 机构高明的地方就在于，咱们去找它注册公钥，它会使用另外一个来注册的公司的私钥对咱们的公钥加密，获得一个咱们的公钥的指纹（全球惟一），而后将这家公司的公钥信息（其实也是证书）和咱们的公钥以及咱们公钥的指纹打包成一个证书。

当咱们使用 HTTPS 将证书下发给客户端校验时，客户端（好比浏览器）从证书中看到了上级证书的信息，恰巧这个证书就在浏览器（或者本机）中，已经被验证过是合法的，浏览器只要使用这个证书中的公钥将咱们的公钥指纹进行解密，而后比对咱们的公钥信息就知道咱们也是的合法的。由于假证书中的公钥签名不可能被合法的上级证书中公钥解密 。

这段稍微有点绕，慢慢看多看几回就理解了。

若有错误或其它问题，欢迎小伙伴留言评论、指正。若有帮助，欢迎点赞+转发分享。

欢迎你们关注民工哥的公众号：民工哥技术之路