Http和Https的概念和区别

Http

超文本传输协议是一种详细规定了浏览器和万维网服务器之间互相通信的规则，通过因特网传送万维网文档的数据传送协议。

Https（先公私钥加密，再对称加密）

HTTPS是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。 它是一个URI scheme（抽象标识符体系），句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。这个系统的最初研发由网景公司进行，提供了身份验证与加密通讯方法，现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。

传输加密后的对称秘钥，然后使用对称加密进行加密解密通讯。

对称加密和非对称加密的区别：

1. 对称加密指的是加密和解密的秘钥是相同的。
2. 非对称加密是指，公钥加密需要私钥来解密，需要的运算的性能开销要比对称加密要高。

ssl验证的过程：
3. 客户端https请求服务端，服务端返回公钥和证书给客户端
4. 客户端验证证书是否信任，如果信任，使用公钥加密一个随机秘钥， 然后发送给服务端
5. 服务端使用私钥解密后，与客户端使用解密后的秘钥进行对称加密和通信。

区别

https协议需要到ca申请证书，一般免费证书很少，需要交费。
http是超文本传输协议，信息是明文传输，https 则是具有安全性的ssl加密传输协议
http和https使用的是完全不同的连接方式用的端口也不一样：前者是80，后者是443。
http的连接很简单，是无状态的 HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议 要比http协议

安全 HTTPS解决的问题：

1、信任主机的问题。 采用https 的server 必须从CA 申请一个用于证明服务器用途类型的证书。改证书只有用于对应的server 的时候，客户度才信任次主机。所以目前所有的银行系统网站，关键部分应用都是https 的。 客户通过信任该证书，从而信任了该主机。其实这样做效率很低，但是银行更侧重安全。 这一点对我们没有任何意义，我们的server，采用的证书不管自己issue 还是从公众的地方issue， 客户端都是自己人，所以我们也就肯定信任该server。

2、传输效率和泄密修改
本来简单的http协议，一个get一个response。
由于https 要还密钥和确认加密算法的需要。单握手就需要6/7 个往返。任何应用中，过多的round trip 肯定影响性能。
接下来才是具体的http协议，每一次响应或者请求， 都要求客户端和服务端对会话的内容做加密/解密。
尽管对称加密/解密效率比较高，可是仍然要消耗过多的CPU，为此有专门的SSL 芯片。 如果CPU 信能比较低的话，肯定会降低性能，从而不能serve 更多的请求。

若途中被数据截获，因为缺少密钥，数据并没有意义。