23 | HTTPS是什么?SSL/TLS又是什么?
该思维导图由 AI 生成,仅供参考
为什么要有 HTTPS?
- 深入了解
- 翻译
- 解释
- 总结
HTTPS是一种安全的通信协议,用于解决HTTP传输过程中的安全问题。由于HTTP的明文传输特性,容易受到窃听、篡改和伪造等安全威胁,因此引入了HTTPS协议来提供机密性、完整性、身份认证和不可否认等四大安全特性。HTTPS并没有改变HTTP的语法和语义,而是通过在HTTP下层引入SSL/TLS协议来实现安全传输。SSL/TLS协议使得HTTP运行在安全的传输协议上,从而保证了通信过程的安全性。 TLS是传输层安全协议,经过多个版本的发展,已成为信息安全领域的权威标准。TLS综合使用了对称加密、非对称加密、身份认证等密码学前沿技术,通过选择合适的加密算法来实现安全通信。同时,OpenSSL作为著名的开源密码学工具包,是SSL/TLS的具体实现,支持几乎所有公开的加密算法和协议,成为了事实上的标准,被广泛应用于Web服务器等领域。 总之,HTTPS的出现为网络通信提供了更高的安全性和可信度,而TLS作为其安全传输的基础,采用多种先进的加密技术保证通信安全,而OpenSSL则是其具体实现。这些技术的发展和应用,为网络安全提供了重要保障,对于读者来说,了解这些技术将有助于更好地理解网络通信的安全机制。
《透视 HTTP 协议》,新⼈⾸单¥59
全部留言(53)
- 最新
- 精选
- djfhchdh机密性由对称加密AES保证,完整性由SHA384摘要算法保证,身份认证和不可否认由RSA非对称加密保证
作者回复: √
2019-07-194122 - -W.LI-老师好!有个问题,之前调用第三方的支付走https协议都需要本地配置一个证书。为啥最近有个项目也是用的https协议(url里会放token)。直接和http一样调用就好了,不需要本地配置证书了呢?
作者回复: 本地证书是用来做双向认证的,服务器用客户端的证书来验证客户端的证书。 通常我们上网是单向认证,只验证服务器的身份,客户端(也就是用户)的身份不用证书验证。
2019-07-2533 - David Mao老师,请教一下,我们现在正在申请SSL证书,SSL证书有专门的机构颁发,文中老师提到HTTPS能够鉴别危险网站,防止黑客篡改,这些具体是怎么做到的呢?由专门机构颁发的原因是什么?谢谢老师。
作者回复: 如果网站是http而不是https,那么浏览器就会认为网站不安全,有风险。 如果证书内容不完善,或者被列入了黑名单,那么浏览器也可以提示用户有危险。 这些的关键都是证书,用证书里的信息,来验证网站的有效性、真实性。 因为证书用来证明网站的身份,就像身份证、学位证一样,如果随便颁发,那么它的可靠性就得不到保证,所以必须要由指定信任的专门机构来颁发,由ca来“背书”,保证证书和它关联的网站是安全可靠的。
2019-07-20225 - Danpier有个疑问,维基百科 OSI 模型图表把 SSL\TLS 归到第6层(表示层),文中说 SSL 属于第5层(会话层),这里是不是写错了? 附: https://en.wikipedia.org/wiki/OSI_model#Layer_6:_Presentation_Layer
作者回复: 这个分层没有统一的定论,ssl/tls在tcp/ip里属于应用层,但不能准确对应到osi的某一层,因为它即有会话功能,又有加解密表示。 我们只要会用、理解就行,不要过于拘泥于学术。
2020-01-1211 - 彩色的沙漠1、HTTPS相对于HTTP具有机密性,完整性,身份认证和不可否认的特性,HTTPS是HTTP over SSL/TLS,HTTP> HTTP over TCP/IP 2、实现机密性可以采用加密手段,接口签名实现完整性,数字签名用于身份认证
作者回复: √
2019-07-1911 - 何用P-256 是 NIST(美国国家标准技术研究所)和 NSA(美国国家安全局)推荐使用的曲线。而密码学界不信任这两个机构,所以 P-256 是有可能被秘密破解但出于政治考虑而未公开?
作者回复: 是的,可能有这个隐患,就跟des一样。
2019-07-227 - 纳兰容若老师您好 一直以来不太明白openssl的各版本,我看官网上还有2.0和3.0的,还有后面还有t、h、j字母跟在后面,这些大概有什么区别,正常使用不知道选择什么版本好,老师有什么建议么 感谢老师回复
作者回复: OpenSSL的官网上对各个版本写的很清楚,最早它是由ssleay发展来的,所以就沿用了0.98的版本号,后来又有好几个系列,比如1.01、1.10等等,小版本号用字母表示。 目前OpenSSL准备跳过2.0,直接出3.0,我们用最新的1.11就好了,之前的版本都将不再维护。
2020-11-046 - 而立斋1、https与http协议相比,最重要的是增加安全性,这种安全性的实现主要是依赖于两个协议底层依赖的协议是不同的,https在传输的应用层与传输层协议之间增加了ssl/tls,这就使得http在固有协议之上增加一层专用用于处理数据安全的工具。 2、机密性:数据使用非对称加密传输 完整性:数据用公钥加密,私钥解密,数据生成摘要算法,同步传输
作者回复: 1.正确。 2.机密性主要用对称加密实现,非对称加密虽然也可以,但是效率太低,不实用。
2019-11-0826 - 海绵薇薇老师好,我想问下,在HTTPS协议上传输的报文,是怎么被缓存的,因为传输的内容应该都是加密的,那么如何做到If-Match或者If-Modified-Since判断的呢?CDN可以解析加密过后的内容吗?
作者回复: 1.https传输过程加密,但在两边是解密的,所以可以看到头字段,然后再走正常的判断处理流程。 2.如果cdn有证书和私钥,就可以解密数据,否则就只能做透明代理,在tcp层面转发。
2021-06-295 - zhangdroidHTTPS:即HTTP over SSL/TLS,用来解决HTTP明文传输导致的不安全问题。流程大致为: 使用对称加密算法加解密报文,保证机密性;使用摘要算法保证数据完整性;使用证书CA来进行身份认证;而不可否认则由非对称加密算法来实现。由于非对称加密算法耗时比对称加密算法长,所以用非对称加密算法来加解密给报文加密的对称算法的秘钥:即使用公钥对对称加密算法秘钥进行加密,私钥用来相应地解密。
作者回复: good。
2021-04-115