什么是 HTTPS？如何保证安全？-CSDN博客

本文链接：https://blog.csdn.net/qq_45638953/article/details/146470878

什么是 HTTPS？

HTTPS（HyperText Transfer Protocol Secure，安全超文本传输协议） 是一种基于 HTTP 的安全协议，使用加密技术确保在客户端与服务器之间传输的数据的安全性。它在 HTTP 的基础上加入了 SSL/TLS 协议来加密数据传输和身份验证。

与 HTTP 不同，HTTPS 在传输层加密了所有数据，因此可以确保以下几方面的安全性：

数据加密：防止数据在传输过程中被窃取或篡改。
数据完整性：确保数据在传输过程中不被篡改。
身份验证：验证访问的网站确实是它所声称的站点，避免中间人攻击。

如何保证 HTTPS 的安全？

HTTPS 通过 SSL/TLS 协议来保证数据的安全性。SSL（安全套接字层）和 TLS（传输层安全性协议）是用于在客户端和服务器之间建立加密连接的协议。虽然现在 TLS 已经取代了 SSL，但人们常常仍习惯性地使用 SSL 来描述这一类加密协议。下面是 HTTPS 如何保证安全的几个关键步骤：

1. 加密通信（Encryption）

对称加密：在客户端与服务器之间建立连接时，使用 对称加密算法（如 AES）对数据进行加密。对称加密的关键在于加密密钥，即客户端与服务器之间共享的密钥。
非对称加密：在通信开始前，客户端和服务器通过 非对称加密（公钥/私钥加密）交换加密密钥。服务器向客户端提供公钥，客户端利用公钥加密数据（如生成会话密钥），然后发送给服务器，服务器通过私钥解密数据。

通过加密，HTTPS 确保了传输中的数据（如用户的密码、信用卡信息等）不会被中间人窃取。

2. 身份验证（Authentication）

HTTPS 使用 SSL/TLS证书（通常由受信任的证书颁发机构（CA）颁发）对网站进行身份验证。SSL/TLS证书包含网站的公钥，并由证书颁发机构签名。
当客户端访问使用 HTTPS 的网站时，服务器会向客户端发送自己的证书，客户端可以通过验证证书的合法性来确认服务器的身份是否可信。证书会包含关于网站域名、证书颁发机构（CA）、证书有效期等信息。

证书的验证是通过以下几个步骤来确保安全的：

客户端检查服务器的证书是否由可信的证书颁发机构（CA）签发。
验证证书是否有效（包括日期、撤销等）。
确认服务器的域名与证书中提供的域名一致。

只有在身份验证成功的情况下，客户端才会与服务器进行加密通信。

3. 数据完整性（Data Integrity）

HTTPS 使用消息认证码（MAC，Message Authentication Code）和哈希算法来确保数据的完整性。消息认证码可以防止数据在传输过程中被篡改。
在 TLS 握手过程中，客户端和服务器使用一种共享的加密密钥计算消息摘要（哈希值），这个摘要会随着数据一起传输。如果数据被篡改，接收方会检测到错误的哈希值，从而发现数据被篡改。

4. 避免中间人攻击（MitM，Man-in-the-Middle）

在没有 HTTPS 的情况下，HTTP 是明文传输的，攻击者可以通过中间人攻击（MitM）窃听或篡改数据。然而，HTTPS 通过加密和身份验证来防止中间人攻击。
在 HTTPS 中，客户端会验证服务器的证书和公钥，以确保连接的对方是合法的服务器，而不是攻击者伪装的服务器。

这样，即使攻击者在中间截获了通信内容，由于数据是加密的，攻击者也无法理解或篡改数据。

HTTPS 工作流程简述：

客户端与服务器建立连接：客户端发起 HTTPS 请求，服务器返回包含公钥的 SSL/TLS 证书。
证书验证：客户端检查证书是否合法，是否有效，是否被信任。
密钥交换：
- 使用 非对称加密，客户端通过服务器的公钥加密一个随机数（用于生成会话密钥）并发送给服务器。
- 服务器用其私钥解密该随机数，并使用它生成对称加密的会话密钥。
加密通信：使用生成的对称密钥加密会话，客户端与服务器之间开始安全的加密通信。
数据传输：所有传输的数据都会被加密，以确保信息的保密性、完整性和防止中间人攻击。