第14章 安全HTTP

1. 用例

本章提供了一种更复杂，更安全的技术，提供数字密码来保护HTTP事务，防止窃听和篡改的侵害。

HTTPS是最流行的HTTP安全形势，所有主要的服务器和浏览器都支持此协议。

使用HTTPS时，所有的HTTP请求和响应数据在发送到网络之前，都要进行加密，HTTPS在HTTP下面提供了一个传输级的密码安全层，使用SSL。

2. 静态

2.1 密码编制的机制与技巧

密码学是对报文进行编/解码的机制与技巧。加密前的原始报文通常称为明文，加密后的报文通常称为密文。

2.2 编码算法

编码算法就是一些函数，这些函数会读取一块数据，并根据算法和密钥值对其进行编/解码。

2.3 对称密钥加密技术

在编码时使用的密钥值和解码时使用的密钥值一样。

2.4 公开密钥加密技术

公开密钥加密技术使用两个非对称密钥，一个用来对主机报文进行编码，一个用来对主机报文解码。编码密钥是众所周知的。

2.5 数字签名

数字签名是附加在报文上的特殊加密校验码。签名可以证明作者。签名可以防止报文被篡改。

2.6 数字证书

英特网上的ID卡，包含了有某个受信任的组织担保的用户或公司的相关信息。

3. 动态

3.1 HTTPS流程

a. 客户端请求HTTPS方案，请求服务器443端口。

b. 建立TCP连接后，客户端和服务器初始化SSL蹭，对加密参数沟通，交换密钥。

c. 握手完成后，SSL初始化完成了。客户端就可以将报文发给安全层了，在报文发送给TCP之前，要先对其加密。