深入浅析Http——Http与Https的区别

---

---

一、Http与Https的区别

HTTP的缺点
1、通信使用明文，内容会被窃听
2、不验证通信的身份，可能遭遇伪装
3、无法证明报文的完整性，可能已被篡改

HTTPS
1、HTTP+加密+认证+完整性保护==HTTPS
2、HTTPS 是身披 SSL 外壳的 HTTP
3、HTTP只是通信接口部分用SSL和TLS协议处理，在采用 SSL 后，HTTP 就拥有了 HTTPS 的加密、证书和完整性保护这些功能。

二、公开密钥与共享密钥

1、公开密钥

        公开密钥加密使用一对非对称的密钥，一把叫做私有密钥，另一把叫做公开密钥，公开密钥可以随意发布，任何都可以获得。发送密文的一方使用对方的公开密钥进行加密处理，对方收到被加密的信息后，再使用自己的私有密钥进行解密，这种处理法师不必担心密钥被攻击者窃听而盗走。

2、共享密钥

三、HTTP的安全机制

1、HTTPS采用混合加密机制

        在交换密钥环节使用公开密钥加密方式，之后的建立通信交换报文阶段则使用共享密钥加密方式。

        证明公开密钥正确性的证书
混合加密机制带来的问题是无法公开密钥本身是货真价实的公开密钥。

        可以使用由数字证书认证机构和其相关机关颁发的公开密钥证书
首先服务器的运营人员向数字证书认证机构提出公开密钥的申请，数字证书认证机构再判明申请者的身份后，会对已申请的公开密钥做数字签名，然后分配这个已签名的公开密钥，并将公开密钥放入公钥证书后绑定在一起。

        服务器会将这份由数字证书认证机构颁布的公钥证书发送给客户端，以进行公开密钥加密方式通信。

        接到证书的客户端可以使用数字证书认证机构的公开密钥，对那张证书上的数字签名进行认证，一旦认证成功，就可以知道公开密钥是被认证过得，认证机构也是被认可的，所有公开密钥是货真价实的。

证书作用
        1、保证密钥的真实性
        2、证明通信一方的服务器是否符合规范，和运行的企业是否真实存在。

2、HTTPS的安全通信机制

        步骤 1： 客户端通过发送 Client Hello 报文开始 SSL 通信。报文中包
含客户端支持的 SSL 的指定版本、加密组件（Cipher Suite）列表（所
使用的加密算法及密钥长度等）。

        步骤 2： 服务器可进行 SSL 通信时，会以 Server Hello 报文作为应和客户端一样，在报文中包含 SSL 版本以及加密组件。服务器的加密组件内容是从接收到的客户端加密组件内筛选出来的。

        步骤 3： 之后服务器发送 Certificate 报文。报文中包含公开密钥证书。

        步骤 4： 最后服务器发送 Server Hello Done 报文通知客户端，最初阶段的 SSL 握手协商部分结束。

        步骤 5： SSL 第一次握手结束之后，客户端以 Client Key Exchange 报文作为回应。报文中包含通信加密中使用的一种被称为 Pre-mastersecret 的随机密码串。该报文已用步骤 3 中的公开密钥进行加密。

        步骤 6： 接着客户端继续发送 Change Cipher Spec 报文。该报文会提示服务器，在此报文之后的通信会采用 Pre-master secret 密钥加密。

        步骤 7： 客户端发送 Finished 报文。该报文包含连接至今全部报文的整体校验值。这次握手协商是否能够成功，要以服务器是否能够正确解密该报文作为判定标准。

        步骤 8： 服务器同样发送 Change Cipher Spec 报文。

        步骤 9： 服务器同样发送 Finished 报文。

        步骤 10： 服务器和客户端的 Finished 报文交换完毕之后，SSL 连接就算建立完成。当然，通信会受到 SSL 的保护。从此处开始进行应用层协议的通信，即发送 HTTP 请求。

        步骤 11： 应用层协议通信，即发送 HTTP 响应

        步骤 12： 最后由客户端断开连接。断开连接时，发送 close_notify 报文。上图做了一些省略，这步之后再发送 TCP FIN 报文来关闭与 TCP的通信。

        在以上流程中，应用层发送数据时会附加一种叫做 MAC的报文摘要。MAC 能够查知报文是否遭到篡改，从而保护报文的完整性。

3、HTTPS缺点

        1、HTTPS比HTTP要慢2到100倍iSSL的慢分为两种，一种是指通信慢(网络负载比HHTP慢2-100被，除去和TCP连接、发送HTTP请求响应还要进行SSL通信)，另一种是指由于大量消耗CPU及内存等资源，导致处理速度变慢（客户端服务端都要进行加密、解密处理）。

        2、进行HTTPS通信，要购买证书要花钱。

        3、会消耗更多的CPU资源，从而能够处理的请求数量会减少