字节面试官：你觉得HTTPS能防止重放攻击吗？，牛客java面试宝典pdf吾爱破解

先来一段面试情景再现~~

最后的结局自然就是

OK，带着上面的疑问，开始我们今天的文章！

正文

==

协议流程

====

我们先来回忆一下HTTPS的通信流程，HTTPS协议 = HTTP协议 + SSL/TLS协议，摘取一下网上一些八股文的回答(以RSA密钥交换的为例)！

• (1)客户端生成一个随机数client_random,TLS版本号，发送到服务端

• (2)服务端发送自己的随机数server_random，服务器使用的证书，发送到客户端

• (3)客户端利用CA公钥对证书进行验证，取出服务器公钥

• (4)客户端生成随机数pre_master_secret,利用服务器公钥进行加密，传送到服务端

• (5)服务端利用服务器私钥进行解密取出pre_master_secret

• (6)服务端和客户端此时利用随机数client_random,server_random,pre_master_secret算出对称密钥(master_secret)，利用对称密钥进行对称加密通信

_画外音:_是不是贼熟悉，有背过网络八股文的，一看就懂！

关键问题就在步骤(6)，怎么进行加密的？很多文章都没有说明，甚至有的人以为，拿client_random+server_random+pre_master_secret直接拼成一个字符串，然后就是对称加密密钥，客户端和服务端拿这个密钥对数据进行加密通信！！

对此，我只能说:“Too young too simple!离谱啊！！”

那正确的过程是怎么样的呢，我们继续往下看！

协议分析

====

我先给本文提到的英文单词，给上我的中文翻译，以防大家混淆:

• client_random 客户端随机数

• server_random 服务端随机数

• pre_master_secret 预备主密钥

• master_secret 主密钥

• key_block 密钥块(有的文章把这个东西称为会话密钥)

先大致有个印象，继续往下阅读

现在我们已经有三个参数client_random，pre_master_secret，server_random，服务端和客户端分别会根据这三个参数，推导出master_secret，一旦master_secret被推导出来，会立刻删除pre_master_secret。(摘自rfc2246,section8.1）

当master_secret计算出以后，立刻计算key_block(摘自rfc2246,section6.3)，这个密钥块，有的文章里又说他是会话密钥！计算公式如下，

key_block = PRF(master_secret,

“key expansion”,

server_random +

client_random)

如公式所示，PRF是一个Hash算法，如SHA256这些，具体用哪一个取决于TLS协议的版本！我们得到key_block后，可以基于到key_block继续推导出6个密钥值，分别是

• client_write_MAC_key 客户端消息认证码密钥

• server_write_MAC_key 服务端消息认证码密钥

• client_write_key 客户端对称加密密钥

• server_write_key 服务端对称加密密钥

• client_write_IV 客户端初始化向量

• server_write_IV 服务端初始化向量

整个过程用一张图来说明，注意了这六把密钥是根据key_block推导而出，也就是意味着这六把密钥是服务端和客户端共同持有的！

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加V获取：vip1024b （备注Java）

总结

上述知识点，囊括了目前互联网企业的主流应用技术以及能让你成为“香饽饽”的高级架构知识，每个笔记里面几乎都带有实战内容。

很多人担心学了容易忘，这里教你一个方法，那就是重复学习。

打个比方，假如你正在学习 spring 注解，突然发现了一个注解@Aspect，不知道干什么用的，你可能会去查看源码或者通过博客学习，花了半小时终于弄懂了，下次又看到@Aspect 了，你有点郁闷了，上次好像在哪哪哪学习，你快速打开网页花了五分钟又学会了。

从半小时和五分钟的对比中可以发现多学一次就离真正掌握知识又近了一步。

人的本性就是容易遗忘，只有不断加深印象、重复学习才能真正掌握，所以很多书我都是推荐大家多看几遍。哪有那么多天才，他只是比你多看了几遍书。

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

哪有那么多天才，他只是比你多看了几遍书。

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-tqjce8fJ-1712985093643)]