HTTPS：互联网的守护神 !

系列文章目录

    揭秘HTTP协议的神秘面纱：探索通信规则的奥秘-CSDN博客https://blog.csdn.net/2301_79339087/article/details/137089147?spm=1001.2014.3001.5501上期博客的补充  以及HTTPS

 

 

---

前言

在数字化日益进步的今天，互联网已成为我们生活中不可或缺的一部分。无论是在线购物、浏览社交媒体还是处理银行事务，大部分日常活动都离不开网络。然而，随着网络交互的增加，数据安全问题也日益突出。 HTTP,它简单.高效.快捷 但它的数据以明文传输,这使得个人信息极易在传输过程中被窃取或篡改.正因为这个缺陷，HTTPS 应运而生。HTTPS（安全超文本传输协议）不仅保留了 HTTP 的基本功能，还通过引入 SSL/TLS 加密层，为数据传输增添了一层保护盾

一、HTTPS是什么？

在HTTP的基础上进行了加密   ''S'' 为SSL

SSL（安全套接层）是一种标准的安全技术，它建立了一个加密链接，确保在互联网上数据传输的安全性。SSL通过使用加密算法来保护在网络上传输的数据免受窃听、篡改，确保数据的完整性和机密性。它最常见的应用场景是在Web浏览器和服务器之间传输数据

二、常见加密术语

---

三. 加密策略

面对客户端-服务器(HTTPS)的加密发送 黑客可以采用中间人攻击 获取对称密钥

中间人攻击（Man-in-the-Middle, MITM）是一种常见的网络安全威胁，其中攻击者在两个通信实体之间秘密插入自己，拦截、修改或操纵双方的通信。

中间人攻击简易流程图

中间人攻击的工作方式：

1. 拦截：攻击者首先需要找到一种方法拦截受害者与合法服务器之间的通信。这可能通过不安全的公共Wi-Fi网络、ARP欺骗或DNS欺骗等技术实现。

2. 解密和篡改：在没有加密的 HTTP 通信中，攻击者可以直接看到、记录和修改传输的数据（如登录凭据、信用卡信息等）。在 HTTPS 通信中，尽管数据被加密，但攻击者仍可能尝试使用伪造的证书来进行解密，如果受害者的系统接受了伪造的证书，攻击者就可以解密和篡改数据。

3. 重新加密并转发：攻击者修改数据后，会重新加密数据，并将其发送到原始目的地，而受害者和服务器往往不会意识到数据被篡改。

        

为了防止中间人攻击  引入证书(结构化的字符串)   证明服务器公钥的权威性

通过 证书 的一系列信息(尤其是证书的签名(经过加密的校验和)) 验证证书真伪(验证服务器公钥)

此时黑客无法伪造证书 则 提高安全性

当客户端接收到服务器的数字证书后，主要通过两个步骤来验证证书的有效性和完整性：

1. 计算证书校验和：客户端使用与证书签发时相同的校验和算法对证书的主要内容（不包括签名本身）进行处理，生成一个校验和值（称为校验和1）。
2. 解密证书签名：客户端利用已知的、可信的证书颁发机构（CA）的公钥对证书中的数字签名进行解密，得到另一个校验和值（称为校验和2）。

随后，客户端将这两个校验和值进行比较：

• 如果校验和一致：这说明证书自签发以来未被篡改，保持原状，因此可以认为是可信的。这表明证书中的公钥确实属于声称的服务器，客户端可以安全地用它来加密信息。
• 如果校验和不一致：这表示证书可能在传输过程中被修改，例如，有人可能试图用其它公钥替换了原本的公钥。在这种情况下，证书不应被信任，因为这可能是一种攻击。

通过这一验证过程，客户端能够确保与之通信的服务器是经过认证的，有效地防止了“中间人攻击”等安全威胁。这个过程是确保网络通信安全的关键环节，帮助建立一个加密且可信的通信渠道。

四. 常见面试题总结

1) HTTP与HTTPS的区别

1) HTTP是明文传输, HTTPS是通过SSL/TLS 进行加密(安全)

2 ) HTTP 端口号为80 HTTPS的端口号为443

3) HTTP的连接简单,是无状态的; HTTPS是加密传输 身份认证的网络协议,比HTTP安全

4) HTTPS 需要到 CA 申请证书(防止中间人攻击)

2) HTTPS的工作流程 

1. 客户端向服务器端发送请求报文，请求与服务端建立连接。
2. 服务端生成一对公私钥，并将公钥发送给证书授权机构（CA）。
3. CA使用自己的私钥对服务端的公钥进行加密，生成数字证书，然后将证书发送给服务端。
4. 服务端将数字证书发送给客户端。
5. 客户端解析数字证书，验证其合法性。如果合法，提取出服务端的公钥。
6. 客户端生成一个随机的对称密钥。
7. 客户端使用服务端的公钥对随机密钥进行加密，然后将加密后的密钥发送给服务端。
8. 服务端使用自己的私钥解密客户端发送过来的随机密钥。
9. 双方使用这个随机密钥进行对称加密通信，保障数据传输的安全性

over!     2024-4-12   HTTPS