HTTP和HTTPS

最新推荐文章于 2023-03-31 11:05:57 发布

大春爱吃胡萝卜

最新推荐文章于 2023-03-31 11:05:57 发布

阅读量523

点赞数

分类专栏：学习笔记

本文链接：https://blog.csdn.net/zzzzzzz823/article/details/105149199

版权

学习笔记专栏收录该内容

6 篇文章 0 订阅

订阅专栏

《分分钟让你理解HTTPS》以及阮一峰老师的《SSL/TLS协议运行机制的概述》这两篇篇博文写的很好。

HTTP协议

定义：

超文本传输协议（Hyper Text Transfer Protocol）。被用于在浏览器和网站服务器之间传递信息的传输协议。

缺点

请求信息明文传输
没有验证对方身份

HTTPS

由于HTTP存在上述缺点，因此人们就在HTTP下加入SSL层，就变成了HTTPS，HTTPS的安全基础就是SSL，可以认为HTTPS就是安全版的HTTP。

SSL（Secure Socket Layer）:安全套接字层

HTTPS协议的主要功能基本都依赖TSL/SSL协议，TSL/SSL的功能实现主要依赖于三类基本算法：散列算法、对称加密、非对称加密，利用非对称加密实现身份认证和密钥协商（Bob和Alice通过鸽子送锁来协商加密的方法），对称加密算法采用协商的密钥对数据进行加密（Bob和Alice协商完了之后就不用重复上一次送锁的过程了，直接用协商好的方法进行加密通信），基于散列函数验证信息的完整性。

加密算法相关可看此文《浅谈常见的七种加密算法及实现》

HTTP与HTTPS的区别

https协议需要申请ca证书，需要一定的费用
http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。
端口不一样，http是80，https是443
http的连接时无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比HTTP安全。

HTTPS的工作原理（四次握手）

客户端使用https的URL访问Web服务器，要求与Web服务器建立SSL连接。（第一次握手，实际上是附带客户端的信息的：支持的TLS版本，支持的加密算法，客户端生成的随机数1）
Web服务器收到客户端的请求后，会将服务器的证书信息（证书中包括公钥）传送一份给客户端。（第二次握手，服务器还返回随机数2）
客户端验证证书的信息，通过后，客户端的浏览器与Web服务器开始协商SSL连接的安全等级，也就是信息加密的等级。
客户端的浏览器根据双方同意的安全等级，建立会话密钥，然后利用服务器的公钥将会话密钥进行加密，并传送给服务器（第三次握手，第三个随机数）
Web服务器利用自己的私钥解密出会话密钥
Web服务器利用会话密钥加密与客户端之间的通信，并通知客户端握手结束（第四次握手）

在这里插入图片描述

HTTPS的缺点

HTTPS协议握手阶段比较费时，会使页面的加载时间延长近50%，增加10%到20%的耗电；
HTTPS连接缓存不如HTTP高效，会增加数据开销和功耗，甚至已有的安全措施也会因此而受到影响；
SSL证书需要钱，功能月强大的证书费用越高。
SSL证书通常需要绑定IP，不能在同一IP上绑定多个域名，IPV4资源不可能支撑这个消耗；
HTTPS协议的加密范围也比较有限，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。最关键的，SSL证书的信用链体系并不安全，特别是在某些国家可以控制CA根证书的情况下，中间人攻击一样可行。
SSL涉及到的安全算法会消耗 CPU 资源。