HTTP安全通信:Https和SSL

1. HTTPS概念

1）简介

HTTPS（全称：Hypertext Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。网络通信协议栈自上而下分别为应用层、传输层、网络层和数据链路层。传输层不能对传输报文段进行加密处理，于是在应用层和传输层之间加入“半层”——SSL层，之所以说是“半层”，因为可以使用SSL，也可以不使用。HTTPS之所以安全，因为网络数据传递经过了SSL的加密处理。

2）HTTPS和HTTP的区别

　　a. https协议需要到ca申请证书，一般免费证书很少，需要交费。

　　b. http是超文本传输协议，信息是明文传输；https 则是具有安全性的ssl加密传输协议。

　　c. http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。

　　d. http传送的数据不需要加密，而经https传输的数据需要进行加密处理，故而耗费的资源也是更多，对服务器的服务能力（并发能力）有一定的限制。

3）HTTPS的作用

它的主要作用可以分为两种：一种是建立一个信息安全通道，来保证数据传输的安全；另一种就是确认网站的真实性。

　　a．一般意义上的https，就是服务器有一个证书。主要目的是保证服务器就是他声称的服务器，这个跟第一点一样；服务端和客户端之间的所有通讯，都是加密的。

　　b. 具体讲，是客户端产生一个对称的密钥，通过服务器的证书来交换密钥，即一般意义上的握手过程。

　　c. 接下来所有的信息往来就都是加密的。第三方即使截获，也没有任何意义，因为他没有密钥，当然篡改也就没有什么意义了。

　　d．少许对客户端有要求的情况下，会要求客户端也必须有一个证书。

这里客户端证书，其实就类似表示个人信息的时候，除了用户名/密码，还有一个CA 认证过的身份。因为个人证书一般来说是别人无法模拟的，所有这样能够更深的确认自己的身份。目前少数个人银行的专业版是这种做法，具体证书可能是拿U盘（即U盾）作为一个备份的载体。

2.SSL简介

　　1）简介

　　SSL (Secure Socket Layer)为Netscape所研发，用以保障在Internet上数据传输之安全，利用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。

　　2）SSL提供的服务

　　a.认证用户和服务器，确保数据发送到正确的客户机和服务器

　　b.加密数据以防止数据中途被窃取

　　c.维护数据的完整性，确保数据在传输过程中不被改变。

3.HTTPS通讯的步骤

　　1）客户端请求服务器，发送握手消息

　　2）服务器返回客户端自己的加密算法、数字证书和公钥；

　　3）客户端验证服务器端发送来的数字证书是否与本地受信任的证书相关信息一致；如果不一致则客户端浏览器提示证书不安全如下图所示

如果验证通过，则浏览器会采用自身的随机数算法产生一个随机数，并用服务器发送来的公钥加密；发送给服务器；这里如果有人通过攻击获取了这个消息，那也没用，因为他没有解密此段消息所需要私钥；验证通过的网站在浏览器地址栏的右边会有一安全锁的标识；

3）服务器解密得到此随机数，并用此随机数作为密钥采用对称加密算法加密一段握手消息发送给浏览器；

4）浏览器收到消息后解密成功，则握手结束，后续的信息都通过此随机密钥加密传输。

以上是服务端认证的情况，如果服务端对访问的客户端也有认证需求，则客户端也需要将自己的证书发送给服务器，服务器认证不通过，通讯结束；原理同上；

另外，一般在传输过程中为了防止消息窜改，还会采用消息摘要后再加密的方式，以此保证消息传递的正确性。