HTTPS的加密流程

最新推荐文章于 2024-08-17 20:20:53 发布
最新推荐文章于 2024-08-17 20:20:53 发布
阅读量729 收藏 6
点赞数 7
分类专栏： JavaEE 文章标签： https 网络 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_74365243/article/details/130828080
版权

HTTPS的加密流程

🔎加密


  • 加密
    • 对称加密
    • 非对称加密

对称加密🍭

只需要一个密钥(Key)

明文 + Key = 密文(明文 与 密钥 结合, 通过加密手段变成密文)
密文 + Key = 明文(密文 与 密钥 结合, 通过解密手段变成明文)

在这里插入图片描述

非对称加密🍭

需要两个密钥
一个是公钥(Pub)
一个是私钥(Pri)

明文 + Pub = 密文(明文 与 公钥 结合, 通过加密手段变成密文)
密文 + Pri = 明文(密文 与 私钥 结合, 通过解密手段变成明文)

在这里插入图片描述

🔎HTTPS的基本工作过程

使用对称加密


在这里插入图片描述

服务器对应的客户端有很多个
不同的客户端使用的密钥不同

如果全部的客户端都使用相同的对称密钥
那么黑客也可以伪装成客户端来获取对称密钥
(拿到对称密钥的黑客可以篡改信息…)

在这里插入图片描述
既然不同的客户端对应不同的对称密钥
因此就让客户端连接服务器时先自行生成一个对称密钥

那么生成好对称密钥的客户端该如何让服务器获取到对应的对称密钥呢?
网络传输

在这里插入图片描述

客户端生成对称密钥后, 将 Key 通过网络传输给服务器
但是这个数据有可能被黑客截获, 黑客也就知道了对称密钥
密文传输也就变成了明文传输

🍭那么如何解决上面的问题呢?

首先排除针对 Key 进行加密
如果针对 Key 进行加密, 就需要生成一个 Key1, 此时也需要将 Key1 通过网络传输给服务器
继续为 Key1 进行加密, 生成一个 Key2, 此时也需要将 Key2 通过网络传输给服务器
…
这样就陷入了死循环

解决方案
引入非对称加密

引入非对称加密


通过服务器生成的公钥(Pub)和私钥(Pri)
针对客户端生成的对称密钥(Key)进行加密与解密

  • 公钥和私钥是两个比较大的整数
  • 这两个整数, 任意一个作为公钥, 另一个作为私钥

在这里插入图片描述

流程分析🍭

  1. 客户端向服务器索要公钥(Pub)对 对称密钥(Key)进行加密
  2. 服务器收到客户端的请求后返回 Pub 给客户端
  3. 客户端利用 Pub 对 Key 进行加密并发送给服务器
  4. 黑客截获到带有 Pub 的 Key(加密后的 Key), 但因为没有与 Pub 匹配的私钥(Pri), 因此无法进行解密
  5. 服务器成功收到 Pub 加密后的 Key, 并用 Pri 进行解密

当客户端成功将 Key 发送到服务器之后
依旧使用对称加密方式
非对称加密的引入是为了将 Key 发送给客户端

为何不依旧引入非对称加密🍭

  • 对称加密速度快, 成本低
  • 服务器拿到 Key, 黑客并未拿到 Key, 也就无法对 Key 所加密的数据进行篡改…
    (将 Pub 理解成一个带锁的盒子, 盒子里面装着 Key, 打开盒子需要 Pri, 而 Pri 只有服务器拥有, 黑客并没有 Pri)

在这里插入图片描述

后续传输过程🍭

在这里插入图片描述

黑客的反制(中间人攻击)


黑客伪装成服务器生成公钥(Pub1)和私钥(Pri1)
当客户端向服务器索要公钥(Pub) 时, 将自己生成的 Pub1 发送给服务器
在这里插入图片描述

客户端使用 Pub1 对 Key 进行加密并返回给客户端
黑客截获到 Pub1 加密后的 Key, 并利用自己生成的 Pri1 对 Pub1 进行解密
解密完成, 黑客获取到了 Key
黑客将获取到的 Key 通过服务器生成的公钥(Pub) 进行加密
服务器收到 Pub 加密后的 Key 并利用 Pri 进行解密
解密结束后告知客户端 “成功收到Key”

解释🍭

将 Pub 看作是带有锁的盒子, Key 是需要存放在盒子中的内容, Pri 则是打开 Pub 这个盒子的钥匙
黑客是想要获得 Key(盒子中的内容)的角色
游戏的过程是客户端需要让服务器拿到盒子中的内容, 并且不能让黑客拿到盒子中的内容

服务器向客户端发送 Pub(带锁的盒子), 客户端拿到Pub, 黑客也拿到了 Pub
但是黑客没有钥匙(Pri), 因此无法打开盒子
怎么办?
“偷梁换柱” — 黑客自己伪造了一个盒子(Pub1)并且黑客拥有这个盒子的钥匙(Pri1)
黑客将伪造的盒子发送给客户端
客户端看到盒子发送过来了, 就乖乖的将 Key 放入盒子中并发送给服务器
黑客截获到客户端发送的带有 Pub1 加密的 Key, 并利用 Pri1(Pub1 这个盒子的钥匙)对盒子进行解锁
黑客获取到了 Key

游戏结束

在这里插入图片描述

一山更比一山高(引入证书)


如何才能规避上述问题呢?
引入证书

上述问题的关键在于客户端并不能区分是服务器生成的 Pub 还是黑客伪装成服务器生成的 Pub1
证书的引入可以让客户端辨别是否为服务器生成的 Pub

密钥🍭

引入证书后, 共计 5 把密钥

在这里插入图片描述

证书🍭

服务器向权威机构申请证书

在这里插入图片描述

  • 证书包括
    • 服务器的 URL
    • 证书的过期时间
    • 证书的颁布机构
    • 服务器生成的公钥(Pub)
    • …
    • 加密后的签名

可以将加密后的签名看作是校验和

  • 加密后的签名
    • 根据证书的其他属性计算得出签名
    • 证书的颁布机构利用自己的私钥(Pri2) 针对签名进行加密

如果数据(证书中的内容)相同, 按照相同的算法计算得到的签名也相同
如果签名不同, 则表示数据(证书中的内容)不同, 证书被修改

在这里插入图片描述

执行流程🍭

客户端向服务器索要证书
服务器给予客户端证书

注意
权威机构的公钥(Pub2)是每个系统自带的

在这里插入图片描述

客户端拿到证书后, 首先对证书进行 “校验”

  1. 客户端利用公钥(Pub2)对证书的加密签名解密, 得到结果 sum1
  2. 客户端计算证书中除加密签名之外的属性值, 得到结果 sum2
  3. 对比 sum1, sum2
    如果结果相同, 表示证书未被修改
    如果结果不同, 表示证书被修改

可能的疑问🍭

为何引入证书黑客便无法篡改信息

  • 黑客篡改信息, 需要执行

    • 将证书中的服务器公钥(Pub2)替换成自己的公钥(Pub1)
    • 根据证书中的各个属性值, 重新计算出签名
    • 需要对计算出的签名进行加密

对于最后一步, 黑客没有权威机构的私钥(Pri2), 也就无法对签名进行加密

你可能会说, 那为何黑客不伪造一个私钥进行加密
还记得前面提到过的每个系统内置了权威机构的公钥(Pub2)
公钥与私钥的关系是相匹配的
回忆前面说到的带锁的盒子与钥匙
黑客伪造的私钥与系统内置的公钥无法匹配

🔎结尾

创作不易,如果对您有帮助,希望您能点个免费的赞👍
大家有什么不太理解的，可以私信或者评论区留言，一起加油

哔卟哔卟_: )
关注
  • 7
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
HTTPS工作流程 传输协议、加密算法
04-14
"HTTPS工作流程传输协议、加密算法" HTTPS是应用层协议，实际上是HTTP协议的一种变种。HTTPS相比于HTTP多了一层SSL/TLS，其构造如下： 1. 证书加密：服务器在使用证书加密之前需要去证书颁发机构申请该服务器的...
HTTP和HTTPS握手流程详解
01-20
HTTP（超文本传输协议）是无状态、明文传输的，而HTTPS（超文本传输安全协议）则是在HTTP的基础上增加了SSL/TLS层，用于提供加密通信以及服务器身份验证，以确保数据传输的安全性。 **HTTP连接的建立（基于TCP）** ...
flutter加密java解密
02-23
5. **一致性保证**：确保App端、服务端和硬件加密结果一致的关键在于标准化流程。所有加密操作都应遵循相同的算法、密钥管理和随机数生成规则。密钥的管理应当严格，例如使用密钥派生函数（KDF）从一个主密钥生成...
c# AES字节数组加密解密流程及代码实现
12-16
AES类时微软MSDN中最常用的加密类，微软官网也有例子，参考链接：https://docs.microsoft.com/zh-cn/dotnet/api/system.security.cryptography.aes?view=netframework-4.8 但是这个例子并不好用，限制太多，通用性差...
rsa加密前后端交互.前端加密后端解密
08-01
HTTPS在TCP/IP层面上提供加密，而RSA则在应用层提供数据加密，两者的结合可以有效防止中间人攻击。 在文章《https://blog.csdn.net/qq_37752382/article/details/102937028》中，作者可能详细介绍了如何在...
Promethues增加https探针监控
Brill_y的博客
08-13 232
某些云服务器的exporter探针程序是https协议，prometheus.yml 中默认http。clickhouse集群。
HTTPS通讯全过程
m0_55721285的博客
08-16 822
不得不说，https比http通讯更加复杂惹。在第一次接触https代码的时候，不知道为什么要用用证书，公钥是什么？私钥是什么？他们作用是什么？非对称加密和对称加密是啥？天，这些似懂非懂的概念，大大增加了我写代码的困难（本人就是不理解原理就浑身难受那种人惹，代码写着写着就想为什么要这样写，牛角尖一枚罢噜）。如果你也有这样的疑问，那么就让我们一起来看看这篇文章吧~~啾咪
hfs通过stunnel实现https访问
m0_47104421的博客
08-14 314
终端程序(client): 192.168.200.128，程序访问服务URL:https://1923.168.200.188:443/(笔者用的是windows的)下载stunnel工具。
秋招突击——8/16——知识补充——HTTPS的介绍
Blackoutdragon的博客
08-17 726
这里整理的比较粗浅，关于HTTPS中的ECDHE握手并不了解，尤其是他的加密算法还不是很了解，但是我看面试很少问，上述的基本回答已经够我应付面试了，下次再遇到类似的问题，基本能够通过了！ 后面还有一些问题，加油，继续整理！
https跟http有什么区别？
kk_177803619的博客
08-08 2835
此外，HTTPS还通过数字证书机制验证了服务器的身份，防止了中间人攻击。在互联网的世界里，HTTP（HyperText Transfer Protocol，超文本传输协议）和HTTPS（HyperText Transfer Protocol Secure，安全超文本传输协议）是两种最为基础且广泛使用的网络协议，它们共同支撑着网络信息的传输与交换。然而，HTTP本身并不提供数据加密功能，所有传输的数据（包括用户输入的信息、浏览历史等）都是以明文形式在网络上传输，这使得数据在传输过程中容易被拦截、篡改或窃取。
计算机网络 DNS HTTP HTTPS，缓存
m0_73976305的博客
08-14 891
输入URL之后的全过程 URL URI DNS (Domain Name System) 为什么分布式 域名的层级关系 解析过程 递归查询和迭代查询 HTTP 特性 版本演变 0.9 1.0 1.1 问题 优化 2 兼容 改变 推送实现 与HTTP1对比 并发实现 缺陷 3 特点 QUIC协议 缓存 强制缓存 协商缓存 基于`Last-Modified`和`If-Modified-Since`的协商缓存 基于`ETag`的协商缓存 HTTPS（Hyper Text Transfer Protocol Sec
http和https的区别
AndrewPerfect的博客
08-16 730
HTTP适合那些不涉及敏感信息传输的普通网站，但在当今网络环境下，越来越多的网站已经转向使用HTTPS。HTTPS提供了加密的数据传输、安全的用户信息保护以及对用户身份的验证，是当前网站和应用程序的标准选择。
网络协议九 应用层 HTTPS
hunandede的博客
08-13 435
是客户端发送给 服务器的第一条信息，里面存储的当前浏览器的 对于 TLS的支持情况使用wireshark 的 捕获 过滤器，注意语法，和显示过滤器的语法不一样由于https 的端口是443，因此我们port 要等于443我们访问www.baidu.com 抓到的包分析注意这是 客户端浏览器发送给 baidu 服务器的。在发送 client hello 的时候，我们告诉baidu 的服务器：当前的浏览器使用的TLS 版本是1.2,
为啥https比http慢
liuxi_happy的博客
08-08 3170
HTTPS请求中,ssl的请求会是tcp请求的14倍,而HTTP中没有这个问题。HTTPS请求中,ssl所占的时间比例是请求时间总和93.37%,HTTPS TCP 和HTTP 的TCP 时间差不是很大。建议:对安全要求不是很高的,不要使用https请求。Https有ssl的握手 HTTP没有。
IP地址申请SSL证书实现https教程
William1234er的博客
08-14 335
为IP地址申请SSL证书并实现HTTPS访问是一个相对直接的过程，但需要仔细操作，并确保每一步都能顺利完成。通过遵循以下步骤和注意事项，可以成功为IP地址部署SSL证书，实现安全的HTTPS访问，从而提升通讯的安全性和可信度。
使用 nginx 搭建代理服务器（正向代理 https 网站）指南
热门推荐
墨鸦的博客
08-14 1万+
使用 nginx 搭建代理服务器（正向代理 https 网站）指南
如何给IP地址开启https—IP证书
joySSL_的博客
08-15 311
三：填写单位信息，并提交CSR，JoySSL是自动给您生成CSR的，直接到最后的服务器文件验证环节。先IP地址申请的前提：80端口有打开，或者可以短暂的打开10分钟左右等验证完IP管理权再关掉。，选择IP地址证书并下单加入购物车，下单之后就会跳转到证书申请界面。四：按照指引把验证文件添加到服务器后台，等待10分钟，证书就会签发。一：访问JoySSL官网，注册账号并填写注册码。IP SSL证书-JoySSL。二：填写需要申请证书的IP信息。
HTTPS 详解
最新发布
低吟不作语的博客
08-17 89
HTTP 被用于在 Web 浏览器和网站服务器之间传递信息，但以明文形式发送内容，不提供任何方式的数据加密，如果攻击者截取了 Web 浏览器和网站服务端之间的传输报文，就可以直接读懂其中的信息，因此 HTTP 不适合传输一些敏感信息，比如身份证号码、密码等。为了数据传输的安全性，HTTPS 在 HTTP 的基础上加入了 SSL 协议，SSL 依靠证书来验证客户的身份，并对客户端和服务端之间的通信进行数据加密，以保障数据传输的安全性，其端口一般是 443。
Connection reset by peer报错解决
m0_65307735的博客
08-16 228
Connection reset by peer报错解决
HTTPS中TLS加密流程。
05-11
TLS加密流程如下： 1. 客户端向服务器发送一个连接请求。 2. 服务器将自己的公钥证书发送给客户端。 3. 客户端验证服务器的证书，如果证书有效则生成一个随机数，称为预主密钥。 4. 客户端使用服务器的公钥对预...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值