HTTPS 和安全通信原来这么简单

一、HTTPS 简介

HTTP 协议（HyperText Transfer Protocol，超文本传输协议）：

用于客户端与服务器端之间的通信。
通过请求报文和响应报文的交换达成通信。
是无状态的协议。

HTTP 协议以简单便捷为设计目的，所以并没有提供确保通信安全的服务。
HTTPS（HTTP Secure，超文本传输安全协议），实现了 HTTP 的安全通信。
HTTPS = HTTP + 加密（防窃听） + 认证（防伪装） + 完整性保护（防篡改）。
HTTPS 并非是应用层的一种新协议，而是让 HTTP 和 SSL 通信，SSL 再和 TCP 通信，就变成了 HTTPS。简言之，HTTPS 就是身披 SSL 协议外壳的 HTTP。

image.png

SSL 是独立于 HTTP 的协议，提供通信加密、身份认证和完整性保护的功能。不光是 HTTP 协议，其它运行在应用层的 SMTP 和 Telnet 等协议均可配合 SSL 协议使用。可以说 SSL 是当今世界上应用最为广泛的网络安全技术。
SSL 技术最初是由网景公司率先倡导的，开发了 SSL3.0 之前的版本，目前主导权已经转移到了 IETF（Internet Engineering Task Force，Internet 工程任务组）的手中。IETF 以 SSL3.0 为基础，又制订了 TLS1.0、TLS1.1 和 TLS1.2。TSL 是以 SSL 为基础开发的，有时也会将该协议统称为 SSL。当前主流的版本是 SSL3.0 和 TLS1.0。

二、安全通信依赖的加密技术

加密技术总体上可以分为三大类：

非对称加密
对称加密
单向加密

常见的非对称加密算法为 RSA，RSA 的加密原理可以参考：RSA算法过程以及正确性证明。
常见的对称加密算法有 DES、3DES 和 AES。
常见的单向加密算法有 MD5、SHA 和 SHA-256。

非对称加密的优缺点：
优点：安全，只需要公布公钥即可。
缺点：加解密速度慢。

对称加密的优缺点和非对称加密的优缺点相对：
缺点：不安全，加解密使用同一个秘钥。
优点：加解密速度快。

两者优势互补，配合使用简直完美。

最后说说单向加密的特点：
特点一：不可逆，起到防篡改的作用。
特点二：无论明文多长，加密结果通常很短。

注意： 单向加密起到防篡改作用的前提是，需要保证密文没有被对应篡改。如果不能保证密文没有被篡改，那单向加密只能防止意外修改（不可靠信道造成的）不能防止恶意修改。

安全通信的技术实现：

通信加密由对称加密和非对称加密共同实现；
身份认证和完整性保护由数字签名和单向加密（信息摘要）共同实现；

数字签名其实是非对称加密的逆向应用。
非对称加密重点在加密，使用公钥加密私钥解密。如果你没有私钥就没办法看到明文。
数字签名重点在签名，使用私钥加密公钥解密，因为公钥是公开的，并且和私钥一一配对，那么我如果可以用公钥看到明文，就说明确实是你用私钥加的密，私钥是私有的，所以可以起到身份认证的作用。
像 RSA 既可以用来非对称加密，也能用来数字签名。但也有专门用于数字签名的算法，像 DSA。

通信加密主要由对称加密实现，因为其速度快。非对称加密只用于前期保证对称秘钥的安全传输。

身份认证和完整性保护其实都是由数字签名保证的。因为数字签名速度慢，所以使用单向加密缩短其要加密的信息。

三、HTTPS 安全通信

HTTPS 的通信流程如下图所示：

https通信流程.png

把握重点：
CA 机构（证书授权中心）有自己的一对公钥私钥，用于数字签名。
服务器有自己的一对公钥私钥，用于非对称加密。

CA 机构的公钥一般会被自动配置在浏览器中。
能够提供 HTTPS 通信的服务器，会先向 CA 机构申请含有服务器公钥的数字证书。

浏览器通过 CA 机构的公钥验证服务器的数字证书。验证通过后，从数字证书中获取服务器的公钥。
然后由客户端产生对称加密的秘钥，并使用服务器公钥加密对称秘钥，接着把加密后的对称秘钥发送给服务器，服务器使用私钥解密得到对称秘钥。
后面双方使用对称加密进行密文通信。

数字证书的验证过程如下：

数字证书.png

数字证书包括了服务器的公钥、CA 机构的信息、服务器域名、数字签名、信息摘要算法以及证书对应的域名。
当客户端收到服务器发来的证书之后，使用本地配置的 CA 机构的公钥解密数字签名得到证书的信息摘要，然后根据证书上说的算法计算当前证书的信息摘要，将两个信息摘要做对比。如果一样，则表示证书是有效地，否则要么是服务器造了假，要么是在证书传输过程中发生意外错误或被中间人恶意篡改。

数字证书需要购买申请，功能越强大的证书费用越高。
HTTPS 连接服务器端资源占用高很多，支持访客多的网站需要投入更大的成本。
HTTPS 协议握手阶段比较费时，对网站的响应速度有影响，影响用户体验。比较好的方式是分而治之，例如 12306 网站的主页使用 HTTP 协议，关于用户信息等方面使用 HTTPS。