|
HTTPS可谓是一个老生常谈的话题了,也是面试过程中几乎必然会问到的一个问题,我们都知道 HTTPS 比 HTTP 安全,也听说过与 HTTPS 协议相关的概念有 SSL 、非对称加密、 CA证书等,但一般面试官都喜欢左手擎“HTTPS 与 SSL有什么关系?”右手抓“HTTPS 的工作原理是什么?”两大法宝来放在任何的技术问题上提问,希望以此来击溃所有的面试者。
那么首先,我们来谈谈HTTPS 与 SSL之间的关系:
HTTPS 即 HTTP over SSL,即 HTTP+SSL/TLS,可以理解为 HTTP 下加入 SSL 层。
SSL(Secure Socket Layer,安全套接字层):1994年为 Netscape 所研发,SSL 协议位于 TCP/IP 协议与各种应用层协议之间,为数据通讯提供安全支持。
TLS(Transport Layer Security,传输层安全):其前身是 SSL,它最初的几个版本(SSL 1.0、SSL 2.0、SSL 3.0)由网景公司开发,1999 年从 3.1 开始被 IETF 标准化并改名,发展至今已经有 TLS 1.0、TLS 1.1、TLS 1.2、TLS 1.3 四个版本。SSL 3.0 和 TLS 1.0 由于存在安全漏洞,已经很少被使用到。TLS 1.3 相比于 TLS 1.2 改动比较大,既避免之前版本出现的缺陷,也减少了 TLS 握手的时间,更快更安全。
而HTTPS 的安全基础便是 SSL/TLS,因此就需要 SSL 证书用于安全的 HTTP 数据传输。
那么问题来了,什么样的才算是安全呢?
数据传输的安全其实体现在以下三方面:
1. 我发的数据,不该看的人看不懂
2. 我发的数据,不该看的人不能伪造或者修改(修改后接收方可察觉)
3. 我发的数据,过期之后不该看的人不能偷偷拿过来继续用
HTTPS怎样保证数据传输安全?
在讲到HTTPS的原理之前我们必须先聊一聊数据加密,目前包括以下三种加密方式:
对称加密:加密和解密数据使用同一个密钥。这种加密方式的优点是速度很快,常见对称加密的算法有 AES;
非对称加密:加密和解密使用不同的密钥,叫公钥和私钥。数据用公钥加密后必须用私钥解密,数据用私钥加密后必须用公钥解密。一般来说私钥自己保留好,把公钥公开给别人,让别人拿自己的公钥加密数据后发给自己,这样只有自己才能解密。这种加密方式的特点是速度慢,CPU 开销大,常见非对称加密算法有 RSA;
散列函数 Hash:hash 是把任意长度数据经过处理变成一个长度固定唯一的字符串,但任何人拿到这个字符串无法反向解密成原始数据(解开你就是密码学专家了),Hash 常用来验证数据的完整性。常见 Hash 算法有 MD5(已经不安全了)、SHA1、SHA256。
而TLS/SSL的功能实现主要依赖于以上三种基本算法,其利用非对称加密实现身份认证和密钥协商,对称加密算法采用协商的密钥对数据加密,基于散列函数验证信息的完整性。
【HTTPS安全协议工作原理】
希望你在阅读完本篇文章之后,下次面试时再被问到https为什么安全时,不要再简单的说“因为加密了呀”这种“白痴”回答,再往下问时就直接哑口无言,那这次面试不黄也够呛。最后祝各位面试顺利,事业有成,我们下期再见咯~
|
|