第6章确保Web安全的HTTPS

一、 HTTP的缺点

 

通信使用明文（不加密），内容可能被窃听（SSL提供报文加密机制）

不验证通信方的身份，因此有可能遭遇伪装（SSL的证书机制，需要客户端和服务端拥有相同的公钥证书）

无法验证报文的完整性，所以有可能已遭篡改（SSL数字签名机制）

 

https本质上是将http通信接口部分使用ssl和tls协议替代，即原本http和tcp层直接通信，现在变为http先和ssl层通信，然后ssl和tcp层通信。

 

1、通信使用明文（不加密），可能被窃听

 

HTTP本身不具备加密功能，所以无法做到对通信整体（使用HTTP协议通信的请求和响应的内容）进行加密，也就是说HTTP报文使用明文方式发送

 

.TCP/IP是可能被窃听的网络

.加密处理防止被窃听

（1）通信加密

HTTP协议没有加密机制，但可以通过和SSL(安全套接层)或TLS（安全层传输协议）的组合使用，加密HTTP的通信内容。

用SSL建立安全通信线路后，就可以在这条线路上进行HTTP通信了。

 

（2）内容加密 （报文主体）

客户端和服务端 对称加密

 

2、不验证通信方的身份就可能遭遇伪装

 

HTTP协议中的请求和响应不会对通信方进行确认，存在“服务器是否就是发送请求中URI真正指定的主机，返回的响应是否真的返回到实际提出请求的客户端”等问题。

 

隐患如下

（1）伪装Web服务器

（2）伪装客户端

（3）无法确定正在通信的对方是否具备访问权限。因此某些Web服务器上保存着重要的信息，只想发个特定用户通信的权限。

（4） 无法判定请求来自何方、出自谁手

（5） 即使是无意义的请求也会照单全收。无法阻止海量请求下的Dos攻击（拒绝服务攻击）

 

查明对手的证书

SSL不仅提供加密处理，而且还使用了一种被称为证书的手段。

 

 

 

 

3、无法验证报文的完整性，可能已遭篡改

 

 

二、 HTTP+加密+认证+完整性保护=HTTPS

1、HTTPS是身披SSL外壳的HTTP

 

2、互相交换密钥的公开密钥加密技术

 

对称加密（共享密钥加密）

非对称加密（公开密钥加密）

HTTPS 使用混合加密机制

 

HTTPS采用共享密钥加密和公开密钥加密两者并用的混合加密机制。充分利用两者各自的优势，在交换密钥环节使用公开密钥加密方式，之后建立通信交换报文阶段则使用共享密钥加密方式。

 

3、证明公开密钥正确性的证书

 

 

4、HTTPS的安全通信机制

 

 

 

步骤1 客户端通过发送Client Hello报文开始SSL通信。报文中包含客户端支持的SSL的指定版本、加密组件列表（所使用的加密算法及密钥长度等）。

步骤2 服务器可进行SSL通信时，会以Server Hello报文作为应答。和客户端一样，在报文中包含SSL版本和组件。服务器的加密组件内容是从接收到的客户端加密组件内筛选出来的。

步骤3 之后服务器发送Certificate报文，报文中包含公开密钥证书

步骤4 最后服务器发送Server Hello Done报文通知客户端，最初阶段的SSL握手协商部分结束

步骤5 SSL第一次握手结束之后，客户端以Client Key Exchange 报文作为会应。报文中包含通信加密中使用的一种被称为Pre-master secret的随机密码串。该报文已用步骤3中的公开密钥进行加密

步骤6

 

https://blog.csdn.net/sean_cd/article/details/6966130