https安全机制简析

大家可能都知道http协议是基于TCP协议的封装，所以每次发送http请求的时候，客户端和服务器端都要先经过TCP协议的三次握手建立连接，https呢是在这基础上确保整个过程的安全，也就是HTTP Over SSL，接下来让我们了解下它是怎么工作的。

1、对称加密

通信如果不进行加密，比如A向B发送了一个Hello，那么任何人都可以从中获取你们交谈的信息，甚至进行修改，所以我们需要加密，A和B都用通一套秘钥X，进行加解密，那么Hello在网络中的传输就一段密文，别人截获了也不知道是什么内容，这种用同一套秘钥加解密的方式就叫做对称加密。

对称加密.png

但是问题来了，如果所有人都用的一套加密方式，那么加密就没有意义了，谁都可以解密别人的信息，所以与不同客户端的通信采用不同的加密方法可以解决这个问题

image.png

这样的话就要双方事先协商好要用的加密方式才行，就像下面这样：

image.png

2、非对称加密

当然协商本身也是一次通信，也得加密，但是用什么方式呢？这就要引入“非对称加密”的概念了，他的特点是私钥加密后的密文，只要是公钥，都可以解密，但是公钥加密后的密文，只有私钥可以解密。私钥只有一个人有，而公钥可以发给所有的人。

image.png

3、协商加密算法的过程

要达到Web服务器针对每个客户端使用不同的对称加密算法，同时，我们也不能让第三者知道这个对称加密算法是什么，怎么办？
使用随机数，就是使用随机数来生成对称加密算法。这样就可以做到服务器和客户端每次交互都是新的加密算法、只有在交互的那一该才确定加密算法。

4、如何让客户端安全的得到公钥

显然，让每个客户端的每个浏览器默认保存所有网站的公钥是不现实的。
接下来要想进行通信，客户端首先得获取公钥，这一过程同样存在被篡改的风险，那么如何保证客户端得到的公钥就是服务器下发的真公钥呢？
当然不能再用加密的方式了，那样的话我们就陷入了一个无限循环的加密旋涡中，这时候就需要借助第三方机构（CA）来解决公钥下发的问题，这一个过程同样需要用非对称加密来完成：

1. 首先服务器用第三方机构的私钥把服务器的公钥加密，生成一个证书，发给客户端。

2. 客户端用第三方机构的公钥来解密证书并验证真伪，就能得到服务器的公钥了。

   
   
   

   image.png

如果能解密，就说明这个证书确实是第三方机构的，因为如果中间人使用自己的私钥加密后的东西传给客户端，客户端是无法使用第三方的公钥进行解密的。

5、证书机制，数字签名

到上面这一步，可能很多人又要问了，CA不可能只有一个公司注册呀，很多人都可以获得CA的公钥，如果中间人截获了你的证书，而把他自己的申请证书发给你，你同样可以解开，但不能辨别真伪，因为那也是来自第三方机构的，只不过不是你的了，就像下面这样：

image.png

这时候就需要客户端自己具备辨别证书是否属于自己的能力了

接下来数字证书登场了。就是证书上会有证书颁发机构，网站名称，过期时间和证书编号等信息，证书编号是用CA的私钥加密的，证书的生成方式呢又是HASH算法对证书内容编码后得到的，这时候我们有必要了解下一种HASH算法的特性了，比如MD5：

1. 压缩性：任意长度的数据，算出的MD5值长度都是固定的。
2. 容易计算：从原数据计算出MD5值很容易。
3. 抗修改性：对原数据进行任何改动，哪怕只修改1个字节，所得到的MD5值都有很大区别。
4. 强抗碰撞：已知原数据和其MD5值，想找到一个具有相同MD5值的数据（即伪造数据）是非常困难的。

当客户端拿到证书后，开始对证书中的内容进行验证，如果客户端计算出来的证书编号与证书中的证书编号相同，则证明证书是真的，并没有被中间人调包。

image.png

还有个问题就是CA机构的公钥从哪里获取，服务器又怎么得到CA的秘钥呢？

6、CA颁发证书

1. 网站如何获取秘钥：
   网站要想支持https，就得去证书颁发机构注册，注册成功后网站管理员会把申请的证书安装到自己的服务器，每次与客户端通信的时候先把证书亮出来，验证自己的身份。

2. 客户端如何获取公钥：
   其实浏览器和操作系统都会维护一个权威的第三方机构列表（包括它们的公钥）。因为客户端接收到的证书中会写有颁发机构，客户端就根据这个颁发机构的值在本地找相应的公钥。

总结

简单顺一下整个过程：

1. 通信过程要用对称加密来保证安全。
2. 协商用哪种对称加密方法的过程需要用非对称加密来确保安全。
3. 非对称加密只能保证单方向的安全，最后又用第三方机构的数字证书机制来确保可以安全地进行协商。

常用加密算法

对称加密算法： AES, 3DES
非对称加密算法：RSA, DSA/DSS
HASH算法：MD5, SHA1, SHA256

以上只是个人的粗浅理解，错误望指正。
[参考阅读]（http://blog.jobbole.com/110354/）图多，有助理解