图解HTTP--确保安全的HTTPS

2016-01-29 本文已影响413人 SuperSnail

确保安全的HTTPS

HTTP协议的缺点

通信使用明文（不加密）内容可能会被窃听
通信内容一般要经过多次转发才能到达接收端。在这个通信过程中，在各个阶段通信内容都有可能被窥探。即使通信内容进行过加密，但是加密后的报文还是会被窃听。而且，如果内容要到达接收端，密钥也会需要传输到接收方，在传递过程中，密钥还是有可能被获取。
不验证通信方身份，可能遭遇伪装
HTTP协议通信时，由于不存在确认通信方的处理步骤，任何人都可以发起请求。服务器只要接到请求也都会响应。所以请求方和服务器都可以伪装。
无法确定正在通信的双方是否具备访问权限
即使是无意义的请求也会照单全收，无法阻止海量请求下的DoS攻击（Denial of Service拒绝服务攻击）
无法验证报文的完整性，可能遭遇篡改
所谓报文的完整性，指的是信息的准确度。因为信息在传递的途中可能被篡改，而服务器没法知道是否被修改。

由于HTTP协议存在以上各种缺点，所以为了有效防止这些弊端，就有必要使用HTTPS了

HTTPS=HTTP+加密+认证+完整性保护

看吧，上面这个公式，正好可以对应解决HTTP的弊端

HTTP
HTTPS并非新的应用层协议，而是HTTP通信接口部分用SSL（Secure Socket Layer）和TLS（Transport Layer Security）协议代替。用HTTP的时候，HTTP直接和TCP通信，用SSL的时候，HTTP就会先和SSL通信，然后SSL再和TCP通信。简而言之，HTTPS就是套了SSL协议外壳的HTTP

加密
HTTP加密传输一般使用 共享密钥加密，这是一种对称加密方法也就是说，发送方和接收方使用同一套密钥。这样存在的问题是，密钥在传输过程中可能被窃取。
HTTPS采用的是公开密钥加密的处理方式。这是一种 不对称的加密方式，就是说，发送方用对方的公开密钥加密，当信息传递到对方的时候，对方用自己的私有密钥解密，这样就不涉及传输密钥的安全问题。公开密钥可以随意传输，私有密钥只有自己知道。棒棒的~
认证
HTTP协议无法确定通信方，但是SSL可以。它拥有一种叫做证书的手段，可用于确定方。另外伪造证书想当困难，所以只要能够确定通信方持有证书，就可以判断通信方的真正意图。
证书由值得信赖的第三方机构颁发，用以证明服务器端和客户端是真实存在的。
完整性保护
应用层在发送数据时，会附加一种叫做MAC(Message Authentication Code)的报文摘要。MAC能够查知报文是否遭到篡改，从而保护报文的完整性。

SSL是独立于HTTP的协议，所以不光是HTTP协议，其他运行在应用层的SMTP和Telnet等协议均可配合SSL协议使用。可以说SSL是当今世界上应用最为广泛的网络安全技术。

当HTTP使用SSL的时候，处理速度会变慢，一般HTTPS 比HTTP慢2到100倍。
一是因为多了HTTP和SSL及TCP的通信
二是因为HTTPS要处理客户端和服务器之间的加密解密，完整性，证书认证等验证。这也将消耗CPU和内存等硬件资源

由此看来在一些情况下不用HTTPS的原因也是显而易见了：
因为HTTPS的处理速度会变慢，因为对硬件的消耗，对访问量很大的web网站而言，其承担的负载不容小觑。除此之外，节约购买数字证书的成本也是原因之一。
所以，一般非敏感性信息还是会用http通信，敏感性的信息才会用https通信。

针对SSL速度慢的情况，没有根本的解决方案，一般会使用SSL加速器这种（专用服务器）硬件来改善问题。

本文整理自《图解HTTP》和网络，之后将持续进行完善