一个故事带你看透HTTPS（上）

2020年蝙蝠纪元，二毛一如往常的呆在家中，不敢外出去浪。

 

为排解心中之闷，二毛抽了一口老烟，熟练的打开了全球最大的同性交友网站，准备假装了解下最近流行的项目...

 

只听啪的一声回车键，哪知浏览器蹦出这么一个画面...

 

 

这是怎么回事？二毛有点疑虑，突然门外传来一阵急促的敲门声，二毛起身前去开门...

 

 

 

二毛在电脑前敲入京东的域名（https://www.jd.com/），果不其然，也跳出跟Github一样的安全提示。随后二毛一顿搜索，终于知道了原因。

 

HTTP

要搞清楚上面的问题前，我们先要知道 HTTP 协议。

 

HTTP是什么呢？引用百科的解释就是：

即超文本传输协议(Hypertext transfer protocol)，是一个简单的请求-响应协议，它通常运行在TCP之上。它指定了客户端可能发送给服务器什么样的消息以及得到什么样的响应。请求和响应消息的头以ASCII码形式给出；而消息内容则具有一个类似MIME的格式。这个简单模型是早期Web成功的有功之臣，因为它使得开发和部署是那么的直截了当。

 

简单来说，HTTP就是浏览器（客户端）和网站（服务端）之间传输信息使用的协议。

 

打个比方，就像读书的时候，你跟前排同学传纸条前，你总是要先戳一下前排同学的后背，然后前排同学就会往后伸出一只手来，这时候你就可以把纸条放在她手心。她看完后会在纸条写上文字，然后再次弯手，你再伸手拿纸条。这就完成了一次通信的过程。

 

你戳她后背，她向后弯手的动作（像极了爱情？？），就像是一种准备通信的规则，换句话说就是一个传纸条的协议。而在网络世界中，浏览器和网站通信，用的就是一种名为HTTP的协议。

 

HTTP特别简单，它部署快捷，传输效率高，推动了互联网的巨大发展。

HTTPS

为什么会有 HTTPS?

HTTP是如此简单，简单到连传输的内容都没有处理，直接使用明文传输的，但是这无疑会给信息的安全带来重大的隐患。稍微懂点抓包的且有相关权限的，就可以把你跟网站通信的内容看的一清二楚。

 

再举个例子：

 

教室里，第五排的小明想给第三排的小红传情书，必须得经过第四排的同学接力传递。这样一来就会产生下面几个问题：

• 窃听：纸条内容被第四排同学知道了，并向老师举报，导致小明因骚扰女同学而被辍学。

• 篡改：纸条被第四排同学改写了，把"想跟你一起起床"改成"想跟你一起睡觉"，导致小红看后怒火中烧，直呼渣男。

• 破坏：纸条被第四排同学破坏，导致小红无法辨认内容，误以为小明恶作剧扔了一团废纸，而怒发冲冠，拳脚相加。

• 伪装：第四排同学直接伪装成小红回复小明，表示愿意交往。导致下课时小明牵小红的手，被一剑封喉。

 由于传纸条通信规则协议的不完善，使得第四排同学也就是中间人有机可乘干坏事，造成了以上四种不良结果。

 

映射到网络世界，网络通信的链条如此曲折冗长，中间极大可能也有诸多牛鬼蛇神、心怀不轨的人，会千方百计的对你传输的信息拦截，然后对信息进行窃听、改造、破坏甚至伪装。

 

使用 HTTP 协议传输信息无异于在网络世界裸奔，但是现在世界上仍然有许多网站使用的是 HTTP（当然大部分是没什么重要信息的网站）。基于此，Google浏览器已经把使用 HTTP 协议的网站，标为了不安全，以进一步提示用户可能存在的风险。

 

随着现代社会人们对隐私安全的要求越来越高，HTTPS 便顺应时代潮流，应运而生。

什么是 HTTPS?

HTTPS （全称：Hyper Text Transfer Protocol over SecureSocket Layer），是以安全为目标的 HTTP 通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性 [1]  。HTTPS 在HTTP 的基础下加入SSL 层，HTTPS 的安全基础是 SSL，因此加密的详细内容就需要 SSL。HTTPS 存在不同于 HTTP 的默认端口及一个加密/身份验证层（在 HTTP与 TCP 之间）。这个系统提供了身份验证与加密通讯方法。它被广泛用于万维网上安全敏感的通讯，例如交易支付等方面 。

 

总结起来就是：基于HTTP协议，通过 SSL 或 TLS 的封装，使得 HTTPS 有了以下几个功能：

1. 加密数据

2. 验证对方身份

3. 数据完整性保护（即可以得知数据有没有被破坏或篡改）

有了这几个功能，我们再来重新审视小明和小红传纸条的例子：

• 窃听 --- 有了 加密数据 的功能，小明表示妈妈再也不用担心我被辍学了！

• 篡改 -- 有了 数据完整性保护 的功能，小明表示妈妈再也不用担心我被大呼渣男了！

• 破坏 -- 有了 数据完整性保护 的功能，小明表示妈妈再也不用担心我身受重伤了!

• 伪装 -- 有了 验证对方身份 的功能，小明表示妈妈再也不用担心我英年早逝了！

 

总结：有了 HTTPS 功能的保驾护航，中间人再也不会从中作梗，小明可以放心写情书了！

 

 

 

正当二毛准备继续侃侃而谈时，二丫的电话响了...

二毛隐约听到二丫电话那头的人正操着广普，语气有些焦灼的说着几个关键词：房租、一定...

 

蝙蝠纪元，疫情之下。

 

教科书式人物浪里小白龙小明能否制定出“HTTPS” 规则，继续驰骋情场，策马奔腾？

 

二毛能否凭借胡说八道的技术继续忽悠二丫，顺利拖住房租，从而支撑家庭？

 

二丫妈妈的电话又传达了什么信息，是敌是友是福是祸？

 

欲知后事如何，且听下回分解。