《HTTPS与SSL/TLS》

《HTTPS与SSL/TLS》

---

参考资料：

tutorialsteacher
https://www.tutorialsteacher.com/https/what-is-https

赛门铁克官网 https://www.websecurity.symantec.com/zh/tw/security-topics/what-is-ssl-tls-https

---

• 什么是SSL 凭证？
  SSL 的全名是Secure Sockets Layer，即安全通讯端层，简而言>之，这是一种标准的技术，用于保持网际网路连线安全以及防止在两个系统之间发送的所有敏感资料被罪犯读取及修改任何传输的资讯，包括潜在的个人详细资料。两个系统可以是伺服器与用户端(例如购物网站与浏览器)，或者伺服器至伺服器(例如，含有个人身份资讯或含有薪资资讯的应用程式)。这样做是为了确保使用者与网站、或两个系统之间传输的任何资料保持无法被读取的状态。此技术可使用加密演算法以混淆输送中的资料，防止骇客在资料透过连线发送时读取资料。此资讯可能是任何敏感或个人资讯，包括信用卡号与其他财务资讯、姓名与地址。

• TLS (Transport Layer Security，传输层安全性)是更新、更安全的SSL版本。我们仍将安全性凭证称为SSL，因为这是较常用的词汇，不过当您透过赛门铁克购买SSL时，您所购买的其实是最新的TLS凭证及ECC、RSA或DSA的加密选项。

• HTTPS (Hyper Text Transfer Protocol Secure，超级文字传输协议安全) 会在网站受到SSL 凭证保护时在网址中出现。该凭证的详细资料包括发行机构与网站拥有人的企业名称，可以透过按一下浏览器列上的锁定标记进行检视。比较SSL 的价格
  from 赛门铁克官网
  https://www.websecurity.symantec.com/zh/tw/security-topics/what-is-ssl-tls-https

解释：

简单的理解Https是一种应用层网络协议，它与Http相比而言具备了安全的特性。
而Https采用了一种叫做SSL的技术，大部分采用的是TLS技术, TLS技术是SSL的改良版。由此可知，理论上Https不一定要用SSL/TLS来实现，只不过SSL是种成熟的软件体系，大家都默认HTTPS就是SSL/TLS了。当然SSL/TLS除了实现HTTPS还可以应用其他通信领域，SSL/TLS的核心是非对称加密与对称加密技术。

那么什么是OpenSSL呢？这个需要当我们了解SSL技术的工作原理后才能知道，OpenSSL其实是SSL技术的实现，是一种工具类软件，它提供了所有SSL有关的软件工具。

---

SSL技术

• ssl是一种确保C/S模式中通信安全的技术，它依赖一种数字证书技术，从实现上来说，它依赖是非对称加密算法和对称加密算法。
• ssl可以确保防篡改，加密通信，压缩通信。
• 非对称加密可以用于身份验证，在HTTPS中，通常服务器利用私钥签名，然后浏览器用证书的公钥验证（证书需要到CA那边先验证一次），以此证明服务端可信。当然后续还需要用到公钥来保护客户端生成的对称密钥。
• SSL分为两个阶段：一、服务器证书认证（浏览器需要上报对称密钥），二、加密通信。 第二阶段不需要再用到证书，而是全程加密通信了。
• 对称加密的CPU功耗与效率要比非对称加密高很多，所以在实际的通信中采用，而签名时则采用非对称加密。

情况过程：

• 客户端发送通信请求：
  SSL版本号, 加密参数, session会话标识ID（临时生成）等信息

• 服务端回复响应：
  SSL版本号, 加密参数, session会话标识ID（临时生成）等信息 + 公钥证书

• 客户端利用CA的公钥验证server端的公钥证书，如果server端的证书不合法，就抛出异常并拒绝继续会话。

• 紧接着，client端发送会话的对称密钥 session key 给server端（如果有必要的话，会携带client证书）。

• 双发利用sessionkey 进行加密通信。
  完成

• SSL通信过程中除了client端和server端，还有一个CA机构角色，他是一种公共的授信部门。可以认为是第三方证人的角色。

以下是官方解释：

公钥基础设施(PKI) 是创建、管理、分发、使用、存储和撤销数字证书以及管理公钥加密所需的一组角色、策略和过程。（部门）

PKI包括以下要素:

证书颁发机构: 对个人、计算机和其他实体的身份进行认证的机构。（职能）
注册机构: 代表root CA颁发证书用于特定用途的从属CA。（子职能）
SSL证书: 包含公钥和其他信息的数据文件。 （产品）
证书管理系统: 存储、验证和撤销证书的系统。 （对外服务接口）

• SSL数字证书的格式采用了X.509就是一种通用的格式而已。的标准，X.509就是一种通用的格式而已。SSL用这种格式来记录公钥以及组织等证书信息。
• Abstract Syntax Notation One (ASN.1)则是X.509格式标准所采用的描述语言（可以理解为是一种编程语言）。
• SSL证书有3个比较重要的属性：组织信息，公钥，有效时间
• SSL证书按验证等级分类，分为域名验证，组织信息验证，拓展验证。域名验证是最低级别的，只要求域名正确就可以了，组织信息验证除了要求域名正确还要求组织信息也要正确，而拓展验证则是最高标准，是银行级别的。
• 也可以按照域名的个数来分类：

Single Domain Certificate 单域名

Wildcard SSL Certificate 通配符证书

Unified SSL Certificate 统一SSL 证书/Multi-Domain SSL Certificate多域名证书/SAN Certificate SAN证书

• 有时候需要经常转换证书格式，证书就是一串二进制流，需要依赖工具软件转换成相应格式的才能被系统识别。常用的格式化工具OpenSSL

• OpenSSL是用于传输层安全性(TLS)和安全套接字层(SSL)协议的健壮的、商业级别的和功能齐全的工具包。它也是一个通用密码库。