联博:我终于搞清了啥是 HTTPS 了

admin/2020-06-04/ 分类:科技/阅读:

弁言

最近上海延续下了一周雨,温度一夜之间回到解放前,穿夏装的我被冻得瑟瑟发抖,躲在家里哪也不想去。

在家百无聊赖的刷着网页,看到民众号后台的留言,有同砚问我 HTTP 和 HTTPS 有啥区别?

这还用问,当然是 HTTPS 要比 HTTP 加倍的平安啊,没看到后面带着个 S 呢么,带着 S 就这么 NB 。

然后同砚的下一个问题把我问懵逼了,为啥带 S 的更平安呢?能详细的讲讲么。

我跟你讲嗷,不是我吹,我这么多年。。。。。。

就没见过你这么刨根究底的同砚,老问这种我也不是很清晰的问题。

虽然这个问题问的我老脸一红,然则我有一种不要脸的精神 「我不会,然则我可以学」 。

HTTP

首先先来了解下 HTTP :

HTTP 协议全称为:Hyper Text Transfer Protocol ,翻译过来就是超文本传输协议,请不要质疑这个翻译,我专门用百度翻译翻了一下。

TCP/IP 四层模子应该都知道的,有数据链路层,网络层,传输层和应用层:

而 HTTP 协议就是位于 TCP/IP 四层模子的应用层上。

这里许多人都市混淆 TCP 和 HTTP ,现实上 HTTP 是基于 TCP 毗邻基础上的。

简朴的说, TCP 就是单纯确立毗邻,不涉及任何我们需要请求的现实数据,简朴的传输。而 HTTP 是用来收发数据,即现实应用上来的。

HTTP 协议通过请求和响应在客户端和服务端之间收发数据,举行通讯:

HTTPS

HTTP 协议看起来似乎没啥问题,唯一的问题就是不够平安,由于 HTTP 协议的传输方式完全是由明文传输的,不做任何加密,这就让一些不怀好意的人有了可乘之机。

这种传输方式诱发了一种经典的攻击方式:中间人攻击。

对于这种情形,最简朴的我们可以使用加密方案,好比使用 AES 加密,服务端和客户端先约定一个随机天生的密钥 key ,后续的通讯中,所有的信息都使用这个密钥举行 AES 加密:

这样虽然后面的通讯历程平安了,然则我们在第一发送 AES 密钥的时刻照样存在被中间人阻挡的风险,一旦中间人阻挡到我们的密钥,可用对密钥举行替换或者直接解密请求内容:

这时我们可以使用不对称加密,来专门对密钥的传输做一次分外的珍爱。

不对称加密会有两个密钥,一个是公钥,一个是私钥。明文可以使用公钥加密私钥解密,也可以使用私钥加密公钥解密。

现在对照通用的非对称加密算法有 RSA 。

看到这里的同砚一定在新鲜,既然都使用了不对称加密,为啥只对 AES 的密钥做不对称加密,似乎有画蛇添足,完全可以对后续所有的通讯信息全都使用不对称加密。

由于不对称加密相对照对称加密性能上存在显著的劣势,可能你以为在一个请求中多消耗几 ms 或者几 ns 无所谓,然则请求到达服务端是要举行解密,每个请求都多消耗几 ms 累计起来照样异常可观的。

上面这个方案看起来已经很平安了,中间人纵然阻挡到我们的公钥,由于不知道我们的私钥貌似也没办法解密。

现实上中间人完全不需要解密我们的信息,他可以天生一对新的公私钥发送给客户端举行攻击,后续客户端的通讯中间人使用自己缔造的私钥举行解密,然后通过服务端天生的公钥举行加密返回给服务端:

CA 证书

上面的问题我们仅通过客户端和服务端已经没办法了,这时刻需要引入新的第三方机构,一个发表 CA 证书的机构。

常见的第三方 CA 机构有:Symantec(赛门铁克),Comodo(科莫多),GeoTrust(环度网信),GoDaddy,Thawte,daoRapidSSL 等等。

在中间人攻击中,我们遇到的问题不是加密算法不够神奇,不是密钥方式不够严谨,而是我们没有办法向我们的客户端解释我们给他的公钥是我们的,是不是很像我没办法证实我是我的问题。

以是第三方机构应运而生,第三方机构只做一件事情,将服务端的公钥刻上了我们的名字(CA 证书),客户端接收到公钥之后,只需要来第三方机构这里查询,就能知道这个公钥是不是真的服务器,然后再将自己天生的 AES 密钥使用 CA 证书中解密获得的公钥举行加密后发送给服务端。

最后服务端使用私钥解密获得 AES 密钥,就可以愉快的和客户端举行通讯了。

最后的最后,CA 机构验证不是每次都要去 CA 机构查询。这样做太傻了而且太耗时,尤其是许多 CA 机构的服务都在外洋,这样一来一去消耗的时间太多了。

CA 机构高明的地方就在于,我们去找它注册公钥,它会使用另一个来注册的公司的私钥对我们的公钥加密,获得一个我们的公钥的指纹(全球唯一),然后将这家公司的公钥信息(实在也是证书)和我们的公钥以及我们公钥的指纹打包成一个证书。

当我们使用 HTTPS 将证书下发给客户端校验时,客户端(好比浏览器)从证书中看到了上级证书的信息,恰巧这个证书就在浏览器(或者本机)中,已经被验证过是正当的,浏览器只要使用这个证书中的公钥将我们的公钥指纹举行解密,然后比对我们的公钥信息就知道我们也是的正当的。由于假证书中的公钥署名不可能被正当的上级证书中公钥解密 。

这段稍微有点绕,逐步看多看几回就理解了。

参考

https://www.jianshu.com/p/691b8ba3a70f

https://blog.csdn.net/u010144805/article/details/80803059

https://blog.csdn.net/caofengtao1314/article/details/87912078

,

欧博注册网址

www.mmsff.com欢迎进入欧博网址(Allbet Gaming),欧博网址开放会员注册、代理开户、电脑客户端下载、苹果安卓下载等业务。

TAG:
阅读:
广告 330*360
广告 330*360

热门文章

HOT NEWS
  • 周榜
  • 月榜
Sunbet_进入申博sunbet官网
微信二维码扫一扫
关注微信公众号
新闻自媒体 Copyright © 2002-2019 Sunbet 版权所有
二维码
意见反馈 二维码