HTTPS-6

最新推荐文章于 2024-11-02 09:00:17 发布

奇漠

最新推荐文章于 2024-11-02 09:00:17 发布

阅读量797

点赞数

分类专栏： Linux基础学习文章标签： https 网络网络协议

本文链接：https://blog.csdn.net/qq_50660509/article/details/129793558

版权

Linux基础学习专栏收录该内容

42 篇文章 0 订阅

订阅专栏

HTTPS简介

HTTPS（全称：HyperText Transfer Protocol over Secure Socket Layer），其实HTTPS并不是一个新鲜协议，Google很早之前就开始启用了，初衷是为了保证数据安全。近些年，Google、Baidu、Facebook等这样的互联网巨头，不谋而合地开始大力推行HTTPS，国内外的大型互联网公司很多也都已经启用了全站HTTPS，这也是互联网发展的趋势。

数据在传输的过程中没有进行加密的处理，利用第三黑客软件（kali中间人），可以进行数据的窃听/盗窃（明文传输）。

HTTPS在数据传输过程中进行加密处理，然后在去进行传输。

http 80

https 443

加密算法

对称加密

A要给B发送数据

1、A做一个对称密钥

2、使用密钥给文件加密

3、发送加密以后的文件和密钥

4、B拿钥匙解密

加密和解密都是使用的同一个密钥

非对称加密

公钥加密，私钥解密：A要给B发生数据

1、B做一对非对称的密钥

2、发送公钥给A

3、A拿公钥给数据加密

4、发送加密后的数据给B

5、B拿私钥解密

打个比方：

1.Alice 在盒子里放有信息，盒子上有挂锁，她有钥匙。通过邮局她把这个盒子寄给Bob。Bob收到盒子后，用相同的钥匙打开盒子（钥匙之前就得到了，可能是Alice面对面给他的）。然后Bob可以用同样的方法回复。

2.Bob和Alice各有自己的盒子。Alice要跟Bob秘密通信，她先让Bob把开着的盒子通过邮局发给她。Alice拿到盒子后放入信息锁上，然后发给Bob。Bob就可以用他自己的钥匙打开了。回复的话就用同样的方法。

信息接受者有两把钥匙：一把“公匙”，一把“私匙”。公匙是给信息发送者用来加密的，私匙是自己用来解密的，不必通过不安全的渠道发送私密的东西。公匙本来就是给别人用的，不用藏好。你的私匙在你产生私匙的电脑里保存着。

算法分类

将任意长度的信息转换为较短的固定长度的值，通常其长度要比信息小的多。例如：MD5、SHA-1、SHA-2、SHA-256 、SM9 等。

数字签名

签名就是在信息的后面再加上一段内容（信息经过hash后的值），可以证明信息没有被修改过。hash值一般都会加密后（也就是签名）再和信息一起发送，以保证这个hash值不被修改。

HTTPS协议介绍

HTTP 协议（HyperText Transfer Protocol，超文本传输协议）：是客户端浏览器或其他程序与web服务器之间的应用层通信协议。

HTTPS 协议（HyperText Transfer Protocol over Secure Socket Layer）：可以理解为HTTP+SSL/TLS，即HTTP下加入SSL层，HTTPs的安全基础是SSL，因此加密的详细内容就需要SSL，用于安全的HTTP数据传输。

HTTPS相比HTTP多了一层SSL/TLS

SSL/TLS：SSL（Secure Sockets Layer 安全套接层），及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层为数据通讯进行加密提供安全支持。

SSL协议可分为两层：

SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。相当于连接

SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。相当于通信

数据封装的过程

SSL协议提供的服务主要有：

SSL：身份认证和数据加密。保证数据完整性

1）认证用户和服务器，确保数据发送到正确的客户机和服务器

2）加密数据以防止数据中途被窃取

3）维护数据的完整性，确保数据在传输过程中不被改变

HTTPS工作原理

HTTP请求过程中，客户端与服务器之间没有任何身份确认的过程，数据全部明文传输，“裸奔”在互联网上，所以很容易遭到黑客的攻击。客户端发出的请求很容易被黑客截获，如果此时黑客冒充服务器，则其可返回任意信息给客户端，而不被客户端察觉。

HTTP传输面临的风险有：

窃听风险：黑客可以获知通信内容。
篡改风险：黑客可以修改通信内容。
冒充风险：黑客可以冒充他人身份参与通信。

那有没有一种方式既可以安全的获取公钥，又能防止黑客冒充呢？那就需要用到终极武器了：SSL 证书（申购）
• 证书：.crt, .pem
• 私钥：.key
• 证书请求文件：.csr

服务器发送了一个SSL证书给客户端，SSL 证书中包含的具体内容有：

（1）证书的发布机构CA

（2）证书的有效期

（3）公钥

（4）证书所有者

（5）签名 ----- 签名就可以理解为是钞票里面的一个防伪标签。

客户端在接受到服务端发来的SSL证书时，会对证书的真伪进行校验，以浏览器为例说明：

1、首先浏览器读取证书中的证书所有者、有效期等信息进行一一校验

2、浏览器开始查找操作系统中已内置的受信任的证书发布机构CA，与服务器发来的证书中的颁发者CA比对，用于校验证书是否为合法机构颁发

3、如果找不到，浏览器就会报错，说明服务器发来的证书时不可信任的

4、如果找到，那么浏览器就会从操作系统中取出颁发者CA的公钥，然后对服务器发来的证书中的得签名进行解密

5、浏览器使用相同的hash算法计算出服务器发来的证书的hash值，将这个计算的hash值与证书中签名做对比

6、对比结果一致，证明服务器发来的证书合法，没有被冒充

7、此时浏览器就可以读取证书中的公钥，用于后续加密

8、client与web协商对称加密算法，client生成对称加密密钥，并使用web公钥加密，发送给web服务器，web服务器使用web私钥解密

9、使用对称加密密钥传输数据，并校验数据的完整性

所以通过发送SSL证书的形式，即解决了公钥获取问题，又解决了黑客冒充问题。HTTPS加密过程也就此形成

相对HTTP，HTTPS传输更加安全

（1）所有信息都是加密传播，黑客无法窃听。
（2）具有校验机制，一旦被篡改，通信双方会立刻发现。
（3）配备身份证书，防止身份被冒充。

HTTPS 缺点：
1. SSL 证书费用很高，以及其在服务器上的部署、更新维护非常繁琐
2. HTTPS 降低用户访问速度（多次握手）
3. 网站改用HTTPS 以后，由HTTP 跳转到 HTTPS 的方式增加了用户访问耗时（多数网站采用302跳转）
4. HTTPS 涉及到的安全算法会消耗 CPU 资源，需要增加大量机器（https访问过程需要加解密）

两张图带你了解HTTPS原理

nginx的HTTPS部署实战

下面我们进行一个简单的实验：要求如图所示

我们选在架构一

第一步：SSL证书申请

1、申请SSL证书之前，我们要先确认我们的域名时合法的，以华为云为例，控制台——域名注册——在域名后面的“更多”中的“产看证书”，查看证书是否合法

2、进入控制台中的云证书管理服务SSL

第二步：LNMP架构部署

用shell终端连接我们的云服务器，登录云数据库
[root@ecs-280855 ~]# yum -y install nginx php php-fpm php-gd php-mysql php-mbstring php-mcrypt php-curl php-intl php-xml php-dom gd
[root@ecs-280855 ~]# systemctl start nginx php-fpm
[root@ecs-280855 ~]# vim /etc/nginx/conf.d/discuz.conf
server {
        listen 80;
        server_name www.dianye.xyz;
        location / {
        root /html;
        index index.php;
        }
        location ~ \.php$ {
        root /html;
        fastcgi_pass   127.0.0.1:9000;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
        include        fastcgi_params;
        }
}
[root@ecs-280855 ~]# mkdir /html
上传discuz的zip压缩包到云服务器
[root@ecs-280855 ~]# ls
Discuz_X3.4_SC_UTF8.zip
[root@ecs-280855 ~]# unzip Discuz_X3.4_SC_UTF8.zip
[root@ecs-280855 ~]# ls
Discuz_X3.4_SC_UTF8.zip   upload  readme   utility
[root@ecs-280855 ~]# cp -r upload/* /html
[root@ecs-280855 ~]# chmod 777 /html -R
重启nginx php-fpm

然后在云数据库上创建对应的数据库discuz和用户"discuz"

然后在浏览器上访问我们的域名测试能否访问到discuz项目(成功了)

接下来我们做HTTPS部署和rewrite实现HTTP-->HTTPS

在电脑上找到我们下载的SSL证书，将SSL证书上传到云服务器
[root@ecs-280855 ~]# ls
Discuz_X3.4_SC_UTF8.zip    upload   readme                 
scs1650456930233.zip             utility
[root@ecs-280855 ~]# unzip scs1650456930233.zip
[root@ecs-280855 ~]# ls
Discuz_X3.4_SC_UTF8.zip  scs1650456930233_www.dianye.xyz  upload
readme                   scs1650456930233.zip             utility
[root@ecs-280855 ~]# cd scs1650456930233_www.dianye.xyz
[root@ecs-280855 scs1650456930233_www.dianye.xyz]# ls
scs1650456930233_www.dianye.xyz_Apache      scs1650456930233_www.dianye.xyz_Nginx
scs1650456930233_www.dianye.xyz_domain.csr  scs1650456930233_www.dianye.xyz_Tomcat
scs1650456930233_www.dianye.xyz_IIS
[root@ecs-280855 scs1650456930233_www.dianye.xyz]# cd scs1650456930233_www.dianye.xyz_Nginx/
[root@ecs-280855 scs1650456930233_www.dianye.xyz_Nginx]# ls
scs1650456930233_www.dianye.xyz_server.crt  scs1650456930233_www.dianye.xyz_server.key
[root@ecs-280855 scs1650456930233_www.dianye.xyz_Nginx]# cp scs1650456930233_www.dianye.xyz_server.key /etc/nginx/www.dianye.xyz_server.key
[root@ecs-280855 scs1650456930233_www.dianye.xyz_Nginx]# cp scs1650456930233_www.dianye.xyz_server.crt /etc/nginx/www.dianye.xyz_server.crt
[root@ecs-280855 ~]# vim /etc/nginx/conf.d/discuz.conf
server {
        listen 80;
        server_name www.dianye.xyz;
        location / {
        root /html;
        index index.php;
        return 301 https://www.dianye.xyz$request_uri;
        }
}
 
server {
        listen 443 ssl;
        server_name www.dianye.xyz;
 
        ssl_certificate         /etc/nginx/www.dianye.xyz_server.crt;
        ssl_certificate_key     /etc/nginx/www.dianye.xyz_server.key;
        ssl_session_timeout  5m;
        ssl_protocols  SSLv2 SSLv3 TLSv1;
        ssl_ciphers  ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
        ssl_prefer_server_ciphers   on;
 
        location / {
        root /html;
        index index.php index.html;
        }
        location ~ \.php$ {
        root /html;
        fastcgi_pass   127.0.0.1:9000;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
        include        fastcgi_params;
        }
 
}
[root@ecs-280855 ~]# nginx -s reload

浏览器访问测试（注意：因为我们的域名没有备案，所以浏览器使用域名访问达不到预期效果，我们使用云服务器的公网ip地址访问，虽然结果也会受影响，但是只要HTTP重定向到HTTPS，我们的目的就算到达了）