新闻风向标面试突击：为什么要用HTTPS它有什么用2022/12/26 9:34:49

哦不明白

在说HTTPS之前，我们先要了解HTTP，因为HTTP是HTTPS通讯的基础。HTTP（HTTP）超文本传输协议，它用于传输客户端和服务器端的数据。说到HTTPS相信大部分人都是不陌生，因为目前我们使用的绝大数都是基于HTTPS的，比如以下这些：域名IP查询的具体问题可以到我们网站了解一下，也有业内领域专业的客服为您解答问题，为成功合作打下一个良好的开端！

那么问题来了，他们为什么要使用HTTPS呢HTTPS有哪些过人之处呢

1HTTP在说HTTPS之前，我们先要了解HTTP，因为HTTP是HTTPS通讯的基础。HTTP（HTTP）超文本传输协议，它用于传输客户端和服务器端的数据。HTTP使用很简单也很方便，但却存在以下3个致命问题：

使用明文通讯，内容可以被窃听。

不验证通讯方的真身份，可能会遭到伪装。

法证明报文的完整性，很容易被篡改。

鉴于以上问题，所以现在的系统会使用HTTPS来替代HTTP。

2HTTPS首先来说，HTTPS并不是一种新的协议，而是在HTTP协议的基础上添加了加密机制SSL（SSL）或TLS（TLS）。HTTPS=HTTP+加密+认证+完整性保护。

SSL和TLS

SSL（SSL）比较早是由浏览器开发厂商景开发的，此开发了SSL30及30之前的版本，之后便将SSL交给了IETF（IETF）I工程任务组的手中，IETF以SSL30为基础开发了TLS10，所以可以认为TLS是SSL的“新版本”。

21解决信任问题作为HTTPS来说，首先要解决的就是信任问题，也就是身份效验的问题，如果不解决信任问题就会存在服务器伪装，也就是“中间人攻击”的问题。所谓的中间人攻击指的是，正常情况下本该是客户端和服务端直接进行交互的，但此处冲出来一个“坏人”（中间人），它包含在客户端和服务器端之间，用于盗取和篡改双方通讯的内容，如下图所示：



HTTPS解决信任问题采用的是数字证书的解决方案，也就是服务器在创建之初，会先向一个大家都认可的第方平台申请一个可靠的数字证书，然后在客户端访问（服务器端）时，服务器端会先给客户端一个数字证书，以证明自己是一个可靠的服务器端，而非“中间人”。此时浏览器会负责效验和核对数字证书的有效性，如果数字证书有问题，那么客户端会立即停止通讯，如果没问题才会执行后续的流程，如下图所示：



有了数字证书之后，就可以验证服务器端的真身份了，这样就解决了“中间人攻击”的问题，也解决了伪装的问题。

22解决明文传输和完整性问题虽然上面我们已经解决了信任问题，然而因为通讯双方是明文通讯的，所以在通讯时依然存在通讯内容被窃听的风险，此时应该怎么办呢于是我们想到，使用加密来解决信息暴露的问题。

加密的分类

加密主要分为两大类：对称加密和非对称加密。

在对称加密中，有一个共享秘钥，通过这把共享秘钥可以现信息的加密和信息的解密，它的特点是加密和解密的速度很，但因为共享秘钥的问题，一旦共享秘钥被截获，那么所谓的加密和解码也就是一纸空谈了。

在非对称加密中，有一对秘钥：公钥和私钥，使用公钥可以加密信息，但不能解密信息，使用私钥可以解密信息。它的特点是服务器端保存私钥，不对外暴露，只将公钥发送给客户端，而其他人即使拿到公钥，也解密不了加密的信息，所以此方式更安全，但非对称加密的执行速度比较慢。那在HTTPS中要使用对称加密还是非对称加密呢使用对称加密，速度，但不安全；使用非对称加密安全，但速度慢。只有小孩做选择，成年人都要，所以HTTPS中既使用了非对称加密也使用了对称加密，它的整个交互流程是这样的：

HTTPS执行流程如下：

客户端使用HTTPS访问服务器端。服务器端返回数字证书，以及使用非对称加密，生成一个公钥给客户端（私钥服务器端自己保留）。客户端验证数字证书是否有效，如果效，终止访问，如果有效：使用对称加密生成一个共享秘钥；

使用对称加密的共享秘钥加密数据；

使用非对称加密的公钥加密（对称加密生成的）共享秘钥。

发送加密后的秘钥和数据给服务器端。

服务器端使用私钥解密出客户端（使用对称加密生成的）共享秘钥，再使用共享秘钥解密出数据的具体内容。之后客户端和服务器端就使用共享秘钥加密的内容内容进行交互了。这样，HTTPS既保证了安全性，同时又保证了高效性，可谓鱼和熊掌兼得。

使用加密的方式也间接的保证了数据的完整性问题，如果是不完整的数据或有多余的数据，那么在解密时会报错，这样就能间接的保证数据的完整性了。



总结使用HTTP协议存在明文通讯和中间人攻击等问题，但这些问题在HTTPS中得到了有效的解决，HTTPS通过数字证书解决了中间人攻击的问题，使用加密手段解决了明文通讯和数据完整性的问题。

参考鸣谢《图解HTTP》

《图解TCPIP络知识轻松入门》