HTTPS通訊原理是什麼
- 藏色散人原創
- 2020-07-02 09:03:404352瀏覽
HTTPS通訊原理是：HTTPS是“HTTP over SSL/TLS”，HTTPS相比HTTP多了一層“SSL/TLS”，HTTPS在傳輸資料之前需要客戶端與服務端之間進行一次握手，在握手過程中將確立雙方加密傳輸資料的密碼資訊。
簡介：
#HTTP 協定（HyperText Transfer Protocol，超文本傳輸協定）：是客戶端瀏覽器或其他程式與Web伺服器之間的應用層通訊協定。 HTTPS（全名為：HyperText Transfer Protocol over Secure Socket Layer），可以理解為HTTP SSL/TLS， 即HTTP 下加入SSL 層，HTTPS 的安全基礎是SSL，因此加密的詳細內容就需要SSL，用於安全的HTTP 數據傳輸。
HTTPS和HTTP的差別：
a. https協定需要到ca申請證書，一般免費證書很少，需要繳費。
b. http是超文本傳輸協議，訊息是明文傳輸；https 則是具有安全性的ssl加密傳輸協議。
c. http和https使用的是完全不同的連接方式，用的連接埠也不一樣，前者是80，後者是443。
d. http的連接很簡單，是無狀態的；HTTPS協議是由SSL HTTP協議構建的可進行加密傳輸、身份認證的網絡協議，比http協議安全。
HTTPS的作用
它的主要功能可分為兩種：一種是建立一個資訊安全通道，來確保資料傳輸的安全；另一種就是確認網站的真實性。
a．一般意義上的https，就是伺服器有憑證。主要目的是確保伺服器就是他所聲稱的伺服器，這跟第一點一樣；服務端和客戶端之間的所有通訊，都是加密的。
b. 具體講，是客戶端產生一個對稱的金鑰，透過伺服器的憑證來交換金鑰，也就是一般意義上的握手過程。這部分會在下面詳細介紹。
c. 接下來所有的資訊往來都是加密的。第三方即使截獲，也沒有任何意義，因為他沒有金鑰，當然竄改也就沒有什麼意義了。
d．少許對客戶端有要求的情況下，會要求客戶端也必須有一個憑證。
為何需要HTTPS協定：
#HTTP協定是沒有加密的明文傳輸協議，如果Client(APP、瀏覽器)採用HTTP傳輸數據，則會洩漏傳輸內容，可能被中間人劫持，修改傳輸的內容。如下圖所示是典型的APP HTTP通訊被業者劫持修改，插入廣告：
#######CC ########為了保護使用者的資訊安全、保護自己的商業利益，減少攻擊面，我們需要保障通訊頻道的安全，採用開發方便的HTTPS是比較好的方式。 ######
HTTPS通訊原理
HTTPS是HTTP over SSL/TLS，HTTP是應用層協議，TCP是傳輸層協議，在應用層和傳輸層之間，增加了一個安全通訊端SSL/TLS：
#如上圖所示HTTPS 相比HTTP 多了一層SSL /TLS，SSL/TLS層負責客戶端與伺服器之間的加解密演算法協商、金鑰交換、通訊連線的建立。
HTTPS在傳輸資料之前需要客戶端（瀏覽器）與服務端（網站）之間進行一次握手，在握手過程中將確立雙方加密傳輸資料的密碼資訊。 TLS/SSL協議不僅僅是一套加密傳輸的協議，更是一件經過藝術家精心設計的藝術品，TLS/SSL中使用了非對稱加密，對稱加密以及HASH演算法。握手過程如下：
(1).client_hello
客戶端發起請求，以明文傳送請求訊息，包含版本訊息，加密套件候選列表，壓縮演算法候選列表，隨機數，擴展字段等信息，相關信息如下：
• 支持的最高TSL協議版本version，從低到高依次SSLv2 SSLv3 TLSv1 TLSv1 .1 TLSv1.2，目前基本上不再使用低於TLSv1 的版本;
# • 客戶端支援的加密套件cipher suites 列表， 每個加密套件對應前面TLS 原理中的四個功能的組合：認證演算法Au (驗證)、金鑰交換演算法KeyExchange(金鑰協商)、對稱加密演算法Enc (資訊加密)和資訊摘要Mac(完整性校驗);
# • 支援的壓縮演算法compression methods 列表，用於後續的資訊壓縮傳輸;
• 隨機數random_C，用於後續的密鑰的產生;
• 擴充字段extensions，支援協定與演算法的相關參數以及其它輔助資訊等，常見的SNI 就屬於擴充字段，後續單獨討論該字段作用。
(2).server_hello server_certificate sever_hello_done
## • server_hello, 服務端傳回協商的資訊結果，包括選擇使用的協定版本version，所選的加密套件cipher suite，選擇的壓縮演算法compression method、隨機數random_S 等，其中隨機數用於後續的金鑰協商;
• server_certificates, 伺服器端配置對應的憑證鏈，用於驗證與金鑰交換;
• server_hello_done，通知客戶端server_hello 訊息傳送結束;
(3) .證書校驗
客戶端驗證證書的合法性，如果驗證通過才會進行後續通信，否則根據錯誤情況不同做出提示和操作，合法性驗證包括如下：
• [憑證鏈]的可信任性trusted certificate path，方法如前文所述;
• 憑證是否撤銷revocation，有兩類方式離線CRL 與線上OCSP，不同的客戶行為會不同;
• 有效期限expiry date，憑證是否在有效時間範圍;
• 網域domain，核查憑證網域是否與目前的存取網域名稱匹配，匹配規則後續分析;
(4 ).client_key_exchange change_cipher_spec encrypted_handshake_message
##(a) client_key_exchange，合法性驗證通過之後，客戶端計算產生隨機數字Pre-master，並用證書公鑰加密，發送給伺服器;
驗證憑證
在（3）憑證校驗中，客戶端會對服務端發送過來的憑證做校驗，下面我們具體看下該流程做了哪些工作
1、驗證頒發者、有效期限
2、驗證是否在信任清單中
2、驗證合法性
驗證憑證時，客戶端讀取憑證中的相關的明文訊息，採用相同的雜湊函數計算得到訊息摘要，然後，利用對應CA的公鑰(從本地取出)解密簽名數據，對比證書的資訊摘要，如果一致，則可以確認證書的合法性，即公鑰合法;
證書內容：
申請者公鑰、申請者的組織資訊和個人資訊、簽發機構CA的資訊、有效時間、證書序號等資訊的明文，同時包含一個簽名;
簽名的產生：使用雜湊函數計算公開的明文資訊的資訊摘要，然後，採用CA的私鑰對資訊摘要進行加密，密文即簽名。
Tips;
1、Client使用Server傳送的公鑰加密數據，將加密資料傳送給Server，Server使用私鑰解密，是為非對稱加密
2、當Client、Server都掌握了協商金鑰enc_key後，雙方均用此金鑰進行加密、解密，是為對稱加密
加密演算法概述
TLS/SSL的功能實作主要依賴三類基本演算法：雜湊函數Hash、對稱加密和非對稱加密，其利用非對稱加密實現身份認證和金鑰協商，對稱加密演算法採用協商的金鑰對資料加密，基於雜湊函數驗證資訊的完整性。
#1、對稱加密
有串流、分組兩種，加密和解密都是使用的同一個金鑰。
例如：DES、AES-GCM、ChaCha20-Poly1305等
#2、非對稱加密
加密使用的金鑰和解密使用的金鑰是不相同的，分別稱為：公鑰、私鑰，公鑰和演算法都是公開的，私鑰是保密的。非對稱加密演算法效能較低，但是安全性超強，由於其加密特性，非對稱加密演算法能加密的資料長度也是有限的。
例如：RSA、DSA、ECDSA、 DH、ECDHE
3、雜湊演算法
##將任意長度的資訊轉換為較短的固定長度的值，通常其長度要比資訊小得多，且演算法不可逆。
例如：MD5、SHA-1、SHA-2、SHA-256 等
4、數位簽章
簽名就是在訊息的後面再加上一段內容（訊息經過hash後的數值），可以證明訊息沒有被修改過。 hash值一般都會加密後（也就是簽章）再和訊息一起傳送，以確保這個hash值不會被修改。
雙向驗證：
伺服器也可以要求驗證客戶端，也就是雙向認證，可以在流程2要傳送client_certificate_request 訊息，客戶端在過程4中先發送client_certificate與certificate_verify_message 訊息，憑證的驗證方式基本上相同，certificate_verify_message 是採用client的私鑰加密的一段基於已經協商的通訊資訊得到數據，伺服器可以採用對應的公鑰解密並驗證。
#以上是HTTPS通訊原理是什麼的詳細內容。更多資訊請關注PHP中文網其他相關文章！