Https协议

 本篇博文的目录:

一:Http协议的优点与缺点

二:Https协议的特点

三:Https协议采用的加密技术

四:Https的安全通信机制

五:为什么还有很多网站不使用Https

六:总结

 

一:Http协议的优点与缺点

1.1:http协议的优点

1.1.:效率高

限制每个连接只有一个请求的无连接状态,在服务器处理完客户的请求,并收到客户的反应,即断开,通过这种方式可以节省传输时间。

1.1.2: 简单快速

当服务器客户端请求服务时,只需传送请求方法和路径。请求方法常用的GET,HEAD,POST。每种方法规定了客户端与服务器联系的是不同的类型。因为简单的 HTTP 协议,通信速度很快。

1.1.3: 灵活

HTTP 允许任何类型的数据对象的传输,输入被传输的内容类型进行标记。

1.1.4:无状态

HTTP 协议是无状态的协议,没有一个国家是没有协议的事务处理和存储能力。如果该状态是指由于缺乏必要前述信息的后续处理中,它必须被重传,这可能导致在数据传输增加了每个连接。另一方面,当不需要在服务器上的快速响应的先验信息。

 

1.2:Http协议的缺点

1.2.1:有被窃听的风险,Http通信使用明文,传输过程中没有任何的保证措施,可能会被窃听

1.2.2:在传输过过程中,不验证通信方的身份,这中间就有可能被遭遇伪装

1.2.3:Http只是对报文进行了解析,并没有对其进行完整的校验,所以无法验证报文的完整形,可能被遭篡改

 

二:Https协议的特点

2.1:Https简介

Https并不是一个崭新的协议,而是在http的基础上发展而来,意为http Secure.相当于是Http的升级版。它主要是为了解决http协议安全性不足的问题而诞生的。在使用https之后,访问浏览器的时候前缀由http变为https,现在我们看到网站都采用https的协议比比皆是,比如:如下都是https的网站:

 

 

可见https已经深刻的渗入到我们的经常访问的网站中了,而关于它,本篇博文就来探讨一下http协议如何变为https.

2.2:Http+加密+认证+完整性保护=https

   Https的通信端口由SSL和TSL代替了,它是一种应用层协议。一般的情况下http直接和Tcp进行通信,当使用了SSL之后,就会变成先和SSL通信,SSL再和Tcp进行通信,原理图如下:

当采用了SSL协议之后,Http协议就具备了加密、证书、完整性保护三大功能,SSL是独立于Http存在的,它是现存的广泛使用的网络安全技术。

 

三:Https协议采用的加密技术

3.1:SSL采用的加密技术

   SSL采用的加密技术叫做“共享密钥加密”,也叫作“对称密钥加密”,这种加密方法是这样的,比如客户端向服务器发送一条信息,首先客户端会采用已知的算法对信息进行加密,比如MD5或者Base64加密,接收端对加密的信息进行解密的时候需要用到密钥,中间会传递密钥,(加密和解密的密钥是同一个),密钥在传输中间是被加密的。这种方式看起来安全,但是仍有潜在的危险,一旦被窃听,或者信息被挟持,就有可能破解密钥,而破解其中的信息。因此“共享密钥加密”这种方式存在安全隐患:

 

3.3.2:非对称密钥加密

   “非对称加密”使用的时候有两把锁,一把叫做“私有密钥”,一把是“公开密钥”,使用非对象加密的加密方式的时候,服务器首先告诉客户端按照自己给定的公开密钥进行加密处理,客户端按照公开密钥加密以后,服务器接受到信息再通过自己的私有密钥进行解密,这样做的好处就是解密的钥匙根本就不会进行传输,因此也就避免了被挟持的风险。就算公开密钥被窃听者拿到了,它也很难进行解密,因为解密过程是对离散对数求值,这可不是轻而易举就能做到的事。以下是非对称加密的原理图:

 

 

四:Https的安全通信机制

4.1:非称加密方式的缺点

公开密钥加密固然比共享密钥加密的方式提升了一个档次,但是它也存在两个问题:

第一个是:如何保证接收端向发送端发出公开秘钥的时候,发送端确保收到的是预先要发送的,而不会被挟持。只要是发送密钥,就有可能有被挟持的风险。

第二个是:非对称加密的方式效率比较低,它处理起来更为复杂,通信过程中使用就有一定的效率问题而影响通信速度

4.2:Https采用混合机制的加密方式

https则综合了公开密钥加密和共享密钥加密的两种方式,充分利用两者的优势,在最初的连接的时候使用非对称密钥的加密方式保证连接的安全性,之后稳定的通讯采用对称加密的方式,稳定的通讯是指确保交换的密钥是安全的。

4.3:https的证书机制

  在4.1中我们讲了非对称加密的缺点,其中第一个就是公钥很可能存在被挟持的情况,无法保证客户端收到的公开密钥就是服务器发行的公开密钥。此时就引出了公开密钥证书机制。数字证书认证机构是客户端与服务器都可信赖的第三方机构。证书的具体传播过程如下:

1:服务器的开发者携带公开密钥,向数字证书认证机构提出公开密钥的申请,数字证书认证机构在认清申请者的身份,审核通过以后,会对开发者申请的公开密钥做数字签名,然后分配这个已签名的公开密钥,并将密钥放在证书里面,绑定在一起

 

 

   

2:服务器将这份数字证书发送给客户端,因为客户端也认可证书机构,客户端可以通过数字证书中的数字签名来验证公钥的真伪,来确保服务器传过来的公开密钥是真实的。一般情况下,证书的数字签名是很难被伪造的,这取决于认证机构的公信力。一旦确认信息无误之后,客户端就会通过公钥对报文进行加密发送,服务器接收到以后用自己的私钥进行解密。

4.4:关于客户端证书

  客户端证书是进行客户端认证的,证明服务器正在通信的客户端是安全的。但是使用客户端证书使用存在以下几个问题:

1:使用客户端证书,客户得自己安装证书,客户端证书是需要进行付费购买的,且每张证书对应到用户意味着需要支付用户数量对等的费用,这叫给用户带来了间接的问题。

2:客户端证书存在另一个问题是,客户端证书只能证明客户端的存在,而不能证明用户本人的真实有效。

 

五:为什么还有很多网站不使用Https?

 Https既然如此安全可靠,为什么还有很多web网站不使用Https的协议?这其中的原因有以下几点:

5.1:加密通信会消耗一定的cpu和服务器资源,如果每次通信都加密,就会消耗更多的资源

 

5.2:如果所有的信息都采用https加密,这无疑是一种浪费。非敏感信息就算被窃取了,也无伤大雅。可以在其传输敏感信息的时候,采用https协议进行加密

 

5.3:购买证书的开销也是一笔很大的费用。向认证机构购买证书,证书价格会根据不同的认证机构略有不同,而一般的授权需要折合人民币600多元。

 

六:总结

   本篇博文由http协议出发,主要介绍了https协议,并对其加密机制进行了简介,梳理其优缺点及其使用场景。作为一名Java开发者,应该对https有所了解,明白其背后的机制,不用深究其细节,此乃本篇博文的初衷。

转载自:https://www.cnblogs.com/wyq178/p/7129232.html

 

发表评论:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

微信扫一扫

微信扫一扫

微信扫一扫,分享到朋友圈

Https协议