大话《图解HTTP》学习笔记 7期：确保Web安全的HTTPS

在 HTTP 协议中有可能存在信息窃听或身份假装等安全问题。使用 HTTPS 通讯机制能够有效地防止这些问题。

1、HTTP缺点

事物皆有两面，HTTP也有其不足之处：

1）通讯使用明文，不加密，内容可能会被窃听；
2）不验证通讯方的身份，所以有可能遭遇假装；
3）没法证实报文的完整性，因此有可能已遭篡改。

一、通讯使用明文可能会被窃听 

因为 HTTP 自己不具有加密的功能，因此也没法作到对通讯总体（使用 HTTP 协议通讯的请求和响应的内容）进行加密。即，HTTP 报文使用明文（指未通过加密的报文）方式发送。

1）TCP/IP 是可能被窃听的网络 

按TCP/IP协议族的工做机制，通讯内容在全部的通讯线路上都有可能遭到窥视。通过加密处理的通讯，也会被窥视到通讯内容，这点和未加密的通讯是同样的。只是说若是通讯加密，有可能让人没法破解报文信息的含义，可是加密处理后的报文信息自己仍是会被看到的。
使用抓包工具能够获取HTTP协议的请求和响应的内容，并对其进行解析。例如使用GET方法发送请求、响应返回了200 OK，查看HTTP响应报文的所有内容等信息。

2）加密处理防止被窃听 

如何防止窃听保护信息，最普及的就是加密技术。主要有通讯的加密和内容的加密两种。

通讯的加密： HTTP经过和SSL(Secure Socket Layer，安全套接层)或TLS(Transport Layer Security，安全层传输协议)的组合使用，加密HTTP的通讯内容。即用SSL创建安全通讯线路，而后再在这条线路上进行HTTP通讯。与SSL组合使用的HTTP被称之为HTTPS(HTTP Secure，超文本传输安全协议)或HTTPover SSL。

内容的加密： 这是一种将参与通讯的内容自己加密的方式。即把HTTP报文里所含的内容进行加密处理，在这种状况下，客户端须要对HTTP报文进行加密处理后再发送请求。为了作到有效的内容加密，客户端和服务器应同时具有加密和解密机制。这种方法不一样于通讯加密，内容仍有可能被篡改。

二、不验证通讯方的身份就可能遭遇假装

HTTP协议中的请求和响应不会对通讯方进行确认，即存在着如下隐患：
1）没法肯定请求发送至目标的Web服务器是否按真实意图返回响应的那台服务器。有多是假装的服务器；
 
2）没法肯定响应返回到的客户端是不是按真实意图接收响应的那个客户端。有多是已假装的客户端； 

3）没法肯定正在通讯的对方是否具有访问权限。由于某些Web服务器上保存着重要信息，只想发给特定用户通讯的权限；
 
4）没法断定请求是来自何方、出自谁手； 

5）即便是无心义的请求也会照单全收，没法阻止海量请求下的DOS攻击(拒绝服务攻击)。
虽然HTTP协议没法肯定通讯方，可是用SSL则能够。SSL不只提供加密处理，还可使用一种称为证书的手段，能够用于肯定对方。证书由值得信任的第三方机构颁发，用以证实服务器和客户端是实际存在的。只要肯定通讯方持有的证书，则可判断通讯方的真实意图。另外，客户端持有证书便可完成我的身份的确认，也可用于Web网站的认证环节。

三、没法证实报文完整性，则有可能被篡改 

完整性是指信息的准确度，若是没法证实完整性，则没法判断信息是否准确。所以有可能出现中间人攻击篡改后，服务器和客户端仍不知情。
虽然有使用HTTP协议肯定报文完整性的方法，可是这并不便捷可靠。为了有效防止其中弊端，有必要使用HTTPS。SSL提供认证和加密处理及摘要功能。

2、HTTP+加密+认证+完整性保护=HTTPS

HTTP 加上加密处理和认证以及完整性保护后便是 HTTPS。

HTTPS并非应用层的一种新协议，而是在HTTP通讯接口部分用SSL和TLS协议代替。所以，HTTP再也不与TCP通讯，而是先和SSL通讯，再由SSL和TCP通讯。所以，HTTPS就是身披着SSL协议这层外壳的HTTP。SSL协议是普遍使用的网络安全技术。
在采用 SSL 后，HTTP 就拥有了 HTTPS 的加密、证书和完整性保护这些功能。SSL 采用一种叫作公开密钥加密（Public-k ey cry ptography ）的加密处理方式。

HTTPS采用共享密钥加密和公开密钥加密二者并用的混合加密机制。若密钥可以实现安全交换，那么有可能会考虑仅使用公开密钥加密来通讯。可是公开密钥加密与共享密钥加密相比，其处理速度要慢。
因此应充分利用二者各自的优点，将多种方法组合起来用于通讯。在交换密钥环节使用公开密钥加密方式，以后的创建通讯交换报文阶段则使用共享密钥加密方式。

若是你以为这篇文章对你有所帮助，那就顺便点个赞吧，点点关注不迷路~

黑芝麻哇，白芝麻发，黑芝麻白芝麻哇发哈！

前端哇发哈