https：基于http的改进

https的主要作用：

• 对数据加密，并建立信息安全通道，保证传输过程中的数据安全
• 网站服务器进行真实身份认证

https改进之处：

• 数据隐私性：内容经过对称加密，每个连接生成一个唯一的加密秘钥——解决信息窃听问题。
• 数据完整性：内容传输经过完整性校验——解决信息篡改问题。
• 身份验证：第三方无法伪造服务端身份——解决信息劫持问题。

改进方法：

http通信接口部分用SSL和TLS协议代替。由直接与TCP通信变成，由SSL和TCP通信
HTTPS =HTTP+TLS/SSL

TLS/SSL 原理

TLS/SSL = 非对称加密+对称加密+散列算法
1、非对称加密
服务器维持一个私钥，将公钥公开给多个客户端。客户端用公开秘钥加密传输，服务端用私有秘钥解密
涉及算法：RSA\ECC\DH
2、对称加密
将加密解密共用的秘钥发给对方
涉及算法：AES\DES\RC4
3、散列算法
不可逆函数+输入敏感输出固定
涉及算法：MD5\SHA

解决窃听问题

非对称+对称加密的具体实现方法：非对称加密传递对称加密后的信息
发送密文的一方，使用对方的公钥进行加密处理对称密钥，然后对方用私钥解密拿到对称密钥。
在确保交换密钥是安全的前提下使用对称加密方式通信

解决篡改问题

基于CA证书校验数据签名

CA证书

数字认证机构处于客户端和服务器双方可信赖的第三方机构立场。
文本用Hash函数生成消息摘要，用发送者私钥加密生成数字签名，与原文一起传给接收者
接收者用公钥解密加密信息，用hash函数生成摘要，对比得到的摘要信息

https工作流程

https工作流程

https与http其他区别

• 更安全、搜索引擎友好，有利于SEO
• ssl区别
• https标准443端口，http标准80端口
• https基于传输层、http应用于应用层

https缺点

1、https实施有门槛，需要权威CA颁发SSL证书，耗时耗力
2、HTTPS性能消耗大于HTTP，加密通信需要更多CPU及内存资源