HTTPS的自我理解

1、HTTPS倒过来看
2、通信时是用双方各自的加密秘钥进行对称加密（客户端加密秘钥，服务端加密秘钥）
3、加密秘钥的来源，是通过三个随机数：客户端随机数、服务端随机数，客户端随机数2

客户端会先发送“客户端随机数”给服务端，服务端会返回“服务端随机数”给客户端，同时发过去自己申请来的服务器证书（里面包含自己服务器信息，非对称加密的公钥）、以及服务器证书的hash签名，和服务器证书签名颁发机构的证书信息（包含证书的公钥）
（用来证明服务器证书是服务器发的，同时服务器证书没有被篡改，）
证明服务器证书是服务器发的：证书信息里有服务器信息，客户端可以以此判断服务器是不是自己要访问的那个服务器
服务器证书没有被篡改：客户端可以通过 服务器证书签名的证书信息里的公钥 对 服务器证书的hash签名进行验证（非对称解密，但不能说是解密） 是否是自己收到的服务器证书信息的hash

如果都没有问题，那就可以证明这个公钥是服务器发来的了，可以用它来进行加密通信，但是非对称加密解密是非常耗时的，所以客户端只会在建立TSL连接时，自己创建个 客户端随机数2，用服务器发来的公钥对客户端随机数2进行非对称加密后，发给服务器

这些的前提是服务端发来的所有证书都是可靠的，来自正规机构申请的，不存在非法机构收钱办事，给你一个服务器证书，证书的服务器信息和实际服务器信息不匹配，就是坏人给钱，让机构给了一个服务器信息是支付宝信息的一个证书，坏人拿着这个证书就能证明自己是支付宝服务器。

解决办法是信任传递，服务器证书包含 他的颁发机构的证书信息，颁发机构的证书信息 中包含了 颁发机构的证书的颁发机构的信息（一般就是根证书了），操作系统在自己文件中是由记录一个根证书列表的，里面包含操作系统信任的所有证书机构，如果能查到 颁发机构的证书的颁发机构的信息 在根证书中，就可以相信 颁发机构的证书的颁发机构了，那也就可以相信 颁发机构，那也就可以相信这个颁发机构发来的这个服务器证书了，服务器证书是合法的，可以用他的公钥

客户端、服务器端，用三个数（客户端随机数、服务端随机数，客户端随机数2）共同通过两个对称加密算法，生成两个加密秘钥，分别用来客户端发送数据加密，服务端发送数据加密
（客户端发的数据，服务端会用客户端加密秘钥进行解密；服务端发的数据，客户端会用服务端加密秘钥进行解密）
当然会还有其他信息，用秘钥生成的两个后面验证数据完整性用到的hash基础值（hash盐），这里不是hash值，它是用来在后面发送数据时，验证数据完整性时创建hash值的盐

为什么还要客户端随机数、服务端随机数，为了防止连接断开后，其他人把之前拿到的数据在发送给服务端，虽然他不知道什么消息，对他也没有用，但是他重复发送这样的数据，服务端，客户端会不断处理，比如客户端给服务端发送数据：删除一个用户，会导致不断删除，给其他人转钱，就会不断转钱，搞破换的人只是搞了破坏，他不知道搞了什么破坏

为什么会有客户端发送数据加密，服务端发送数据加密，是为了防止，如果只用一个秘钥加密解密，存在：客户端发送数据给服务端，坏人截获后，原封不动重新发给客户端，客户端以为服务端发来的，被正常处理了，比如发送：分手吧，客户端收到分手吧，就分了。

关于对称加密，非对称加密，签名，验证，hash是什么，这个是了解https的前提
注意，验证不是非对称解密，非对称加密解密，签名的加签名与验证，都是把公钥公布出去，私钥藏在手里。因为很多时候，非对称加密算法的公钥是可以通过私钥算出来的。私钥是不能通过公钥算出来的。比如比特币的的椭圆曲线得到私钥公钥，起点一致，弹得次数是私钥，落点是公钥
还有HTTPS是HTTP+Tsl的加密解密，在HTTP协议的数据发送前会先进过TSL进行加密，TSL层建立TSL连接（HTTPS连接）后再发数据。TSL负责先建立TSL连接，进行HTTPS加密通信，TCP层负责建立TCP连接，数据分包和整合，发给下层的IP层协议发送最终数据