https

林纾y

已于 2022-07-10 10:10:10 修改

阅读量1k

点赞数

分类专栏： JavaEE 文章标签： web安全 https

于 2022-07-04 17:23:44 首次发布

本文链接：https://blog.csdn.net/m0_58006481/article/details/125598037

版权

JavaEE 专栏收录该内容

13 篇文章 0 订阅

订阅专栏

一、HTTP

见HTTP协议和Web服务器的使用_林纾໌້ᮨ的博客-CSDN博客

1.请求格式（请求行+头+体）、响应格式

2.GET vs POST

3.常见的响应状态（200、404、405(方法不支持)、500(服务器错误)）

4.应用层(HTTP)->传输层(TCP)->网络层(IP)->数据链路层

5.Cookie和Session的理解

6.从浏览器输入网址之后到看到网页发生了什么？

见：用户在浏览器中输入url回车，直到看到网页期间发生了什么？_林纾໌້ᮨ的博客-CSDN博客

7.HTTP协议是安全的吗，TCP是安全的吗

都不是，TCP是保可靠的，但不能保证安全

二、安全问题

存储安全、计算安全、传输安全

存储安全：密码保存等不能明文...

计算安全：任何数据都有可能在内存中计算，但有可能被人攻破内存获取数据

传输安全：数据被窃听（一对一的传输但所有人都知道了）、数据被篡改、数据被伪造（https解决这块的不安全问题）

三、HTTPS

HTTP协议传输的是明文（无论是放在请求行/头/体中），存在传输安全问题。【网络传输是明文的，它传输是不断通过每个路由器跳转传输过去的】

HTTPS（HTTP Secure）=HTTP+TLS/SSL(SSL是早期版本)(加密处理的一套机制)

HTTPS核心还是应用层的事情，也就是说TSL/SSL还是一个纯粹应用层的机制

1.加密——密钥(key)

加密（明文，密钥）= 密文

解密（密文，密钥）= 明文

1）对称加密：加密和解密密钥是同一份

AES算法为主，实现对明文的加密，对称加密速度更快，但密钥的传输不保证安全

加密（明文，密钥）= 密文

解密（密文，密钥）= 明文

2）非对称加密：加密和解密密钥不是同一份

RSA算法，非对称加密速度慢，对称加密的密钥的传输使用非对称加密解决

加密（明文，密钥1）= 密文

解密（密文，密钥2）= 明文

关于密钥：

密钥1：自己保留——私钥；密钥2：谁都可以拿到——公钥

加密（明文，私钥）= 密文 —》解密（密文，公钥）= 明文

加密（明文，公钥）= 密文 —》解密（密文，私钥）= 明文【谁都可以给我发报告，只有我能看到报告内容】

加密(明文，私钥)=密文	解密(密文，公钥)=明文	防伪造【配对加密的私钥只有我有，其他只能用公钥解开，别人手上没有这份数据无法伪造】
加密(明文，公钥)=密文	解密(密文，私钥)=明文	防窃听、篡改【谁都可以给我发报告，只有我能看到报告内容】

3）使用非对称加密作为对称加密的密钥传输

对于密钥相同传输的不安全，可以使用非对称加密作为对称加密的密钥传输，之后真正的数据传输使用对称加密。即使用了对称+非对称加密配合工作保证了安全性。

2.加密过程分析

前提：任意一对服务器手上都有一对公钥和私钥，私钥是服务器自己有的，公钥是大家都可以有。

客户端发送请求，服务器收到请求，提供公钥放在签名中拿给客户端，同时服务器会选定一个算法生成一个密钥（客户端和服务器协商对称加密算法，客户端随机生成一份对称密钥），这个密钥是给后续对称阶段加密用的（既不是刚的公钥也不是私钥），有了这份密钥之后，客户端用服务器给的公钥对对称密钥进行加密，加密完成后客户端这边再想办法将密文发送到服务器，服务器可以拿着私钥解密，这样服务器和客户端手里就有了唯一的一份密钥（即得到对称加密的密钥），这份密钥理论上就是别人看不到，窃听不了的，这样之后的数据通信就可以通过这份密钥用对称加密方式进行了。