HTTPS简单学习

前言

八月初的时候有幸在参与了一场公司内部的讲座分享，如今各大公司都在进行从HTTP到HTTPS的迁移，这部分势必会对前端的性能测速产生影响，因此了解HTTPS基本对前端也是有必要

与HTTP的差别

与HTTP的URL由“http://”起始且默认使用端口80不一样，HTTPS的URL由“https://”起始且默认使用端口443。

HTTP是不安全的，且攻击者经过监听和中间人攻击等手段，能够获取网站账户和敏感信息等。HTTPS被设计为可防止前述攻击，并（在没有使用旧版本的SSL时）被认为是安全的。

SSL/TLS协议解决的问题

• 全部信息都是加密传播，第三方没法窃听。

• 具备校验机制，一旦被篡改，通讯双方会马上发现。

• 配备身份证书，防止身份被冒充

SSL/TLS 握手过程

客户端发出请求（ClientHello）

客户端（一般是浏览器）先向服务器发出加密通讯的请求，这被叫作ClientHello请求。
在这一步，客户端主要向服务器提供如下信息。

1. 支持的协议版本，好比TLS 1.0版。

2. 一个客户端生成的随机数，稍后用于生成"对话密钥"。

3. 支持的加密方法，好比RSA公钥加密。

4. 支持的压缩方法。

服务器回应（SeverHello）

服务器收到客户端请求后，向客户端发出回应，这叫作SeverHello。服务器的回应包含如下内容。

1. 确认使用的加密通讯协议版本，好比TLS 1.0版本。若是浏览器与服务器支持的版本不一致，服务器关闭加密通讯。

2. 一个服务器生成的随机数，稍后用于生成"对话密钥"。

3. 确认使用的加密方法，好比RSA公钥加密。

4. 服务器证书。

客户端回应

客户端收到服务器回应之后，首先验证服务器证书。若是证书不是可信机构颁布、或者证书中的域名与实际域名不一致、或者证书已通过期，就会向访问者显示一个警告，由其选择是否还要继续通讯。
若是证书没有问题，客户端就会从证书中取出服务器的公钥。而后，向服务器发送下面三项信息。
（1） 一个随机数。该随机数用服务器公钥加密，防止被窃听。
（2） 编码改变通知，表示随后的信息都将用双方商定的加密方法和密钥发送。
（3） 客户端握手结束通知，表示客户端的握手阶段已经结束。这一项同时也是前面发送的全部内容的hash值，用来供服务器校验。

服务器的最后回应

服务器收到客户端的第三个随机数pre-master key以后，计算生成本次会话所用的"会话密钥"。而后，向客户端最后发送下面信息。
（1）编码改变通知，表示随后的信息都将用双方商定的加密方法和密钥发送。
（2）服务器握手结束通知，表示服务器的握手阶段已经结束。这一项同时也是前面发送的全部内容的hash值，用来供客户端校验。
至此，整个握手阶段所有结束。接下来，客户端与服务器进入加密通讯，就彻底是使用普通的HTTP协议，只不过用"会话密钥"加密内容。

如下例子能够总结整个握手过程：
握手阶段分红五步。
第一步，爱丽丝给出协议版本号、一个客户端生成的随机数（Client random），以及客户端支持的加密方法。
第二步，鲍勃确认双方使用的加密方法，并给出数字证书、以及一个服务器生成的随机数（Server random）。
第三步，爱丽丝确认数字证书有效，而后生成一个新的随机数（Premaster secret），并使用数字证书中的公钥，加密这个随机数，发给鲍勃。
第四步，鲍勃使用本身的私钥，获取爱丽丝发来的随机数（即Premaster secret）。
第五步，爱丽丝和鲍勃根据约定的加密方法，使用前面的三个随机数，生成"对话密钥"（session key），用来加密接下来的整个对话过程。

握手阶段有三点须要注意。

1. 生成对话密钥一共须要三个随机数。

2. 握手以后的对话使用"对话密钥"加密（对称加密），服务器的公钥和私钥只用于加密和解密"对话密钥"（非对称加密），无其余做用。

3. 服务器公钥放在服务器的数字证书之中。

HTTPS性能

测量HTTPS连接耗时的方法

HTTP耗时 = TCP握手
HTTPs耗时 = TCP握手 + SSL握手

因此，HTTPS确定比HTTP耗时，这就叫SSL延迟。

• 加密/解密的过程是须要消耗时间的
  毕竟须要对传输的数据进行加密/解密，算法耗时是确定有的。

• 交换公钥/私钥消耗时间
  HTTPS传输在传输以前是须要再服务端与客户端交换公钥/私钥的，这个过程也是很是耗时的。有统计称HTTPS的连接耗时是HTTP的链接耗时的3倍。

• 重定向消耗时间
  这里还有一个影响速度的点，那就是用户在浏览器中输入网址的时候，是不会去本身输入https协议头的，若是你在浏览器中输入www.jd.com的话，默认浏览器访问的是http://www.jd.com的，若是咱们想要用户访问https的网站的话，就要本身进行一次网页重定向，重定向也是比较耗时的操做。这都会对咱们的网站速度形成影响。

HTTPS发展趋势

• https everywhere,http2主流实现强制使用https

• 加密强度增长

• 证书开源免费

• 速度提高, Tls1.3 减小握手

参考资料

wiki百科
阮一峰老师的博客
聊一聊HTTPS那些事儿