Java计算机网络篇-HTTPS

几个概念

1、文中的使用非对称加密对称密钥就是数字信封技术

2、https通讯全过程

TCP三次握手->建立SSL连接(验证双方证书身份、获取对称密钥)->建立https连接(使用对称密钥加密通讯)

3、https单向身份认证一般来说就是客户端验证服务器https证书是否是合法有效的。https双方身份认证就是客户端验证服务器身份，服务器也验证客户端的身份，一般在安全要求 比较高的双方接口对接时，验证双向的身份。

3.1、HTTPS单向身份认证

1）客户端向服务器发送https请求，基本包括SSL证书版本等信息给服务器端建立连接。

2）服务器端确认SSL证书版本、服务器公钥证书返回给客户端。

3）客户端校验服务器端证书是否合法(通过CA证书来验证服务器身份)。验证通过就继续下一步，验证不通过警告提示(如浏览器的警告提示)。一般CA证书的验证包括：证书信任链验证、证书有效期验证、证书是否吊销等。

4）客户端发送可支持的对称加密方案到服务器端供其选择。

5）服务器端将选择好的加密方案（算法）以明文方式发给客户端。

6）客户端收到采用的加密算法后，产生随机码作为对称加密的密钥。

7）客户端把对称密钥使用服务器端的公钥（非对称加密）加密后发送到服务器端。

8）服务器端使用私钥（非对称加密）解密后获得对称加密的密钥。

9）双方通过对称加密密钥(随机数)进行加密通讯。

以下是浏览器通过https访问百度服务器的具体实例：

3.2、HTTPS双向身份认证

1）客户端通过发送Client Hello报文开始SSL通信。报文中包含客户端支持的SSL的指定版本、加密组件列表、所使用的加密算法及密钥长度、随机数Random-A等。

2）服务器可进行SSL通信时，会以Server Hello报文作为应答。和客户端一样，在报文中包含SSL版本以及加密组件(客户端支持中筛选)、服务器生成的随机数Random-B、服务器公钥证书PublicKey-B。

3）客户端校验服务器端证书PublicKey-B是否合法(通过CA证书来验证服务器身份)。验证通过就继续下一步，验证不通过警告提示(如浏览器的警告提示)。一般CA证书的验证包括：证书信任链验证、证书有效期验证、证书是否吊销等。

4）客户端将自己的公钥证书PublicKey-A发送给服务器端，供服务器验证客户端身份。客户端事先也需申请相应的SSL证书。

5）服务器校验客户端证书PublicKey-A是否合法(通过CA证书来验证服务器身份)。验证通过就继续下一步，验证不通过警告提示(如浏览器的警告提示)。一般CA证书的验证包括：证书信任链验证、证书有效期验证、证书是否吊销等。

6）客户端发送可支持的对称加密方案到服务器端供其选择。

7）服务器端将选择好的加密方案（算法）发送给客户端，报文使用客户端公钥PublicKey-A进行非对称加密。

8）客户端使用自己的私钥PrivateKey-A解密报文，并通过Random-A、Random-B推算出Random-C，也就是对称加密的密钥。

9）客户端使用服务器公钥PublicKey-B非对称加密对称密钥Random-C，发送给服务器。

10）服务器使用自己的私钥PrivateKey-B解密报文，解决出对称密钥Random-C。

11）双方完成身份验证，并使用对称密钥Random-C进行加密通讯。

附