- 2019-07-19机密性由对称加密AES保证，完整性由SHA384摘要算法保证，身份认证和不可否认由RSA非对称加密保证
作者回复: √
8 
2019-08-05老师，我的个人网站：https://www.xttblog.com 在mac上的谷歌浏览器最新版中控制台总是会报一个错误，而我已经是https了，这个问题，空扰了我很久作者回复: 什么错误，说出来看看。
5 3
2019-07-25老师好!有个问题，之前调用第三方的支付走https协议都需要本地配置一个证书。为啥最近有个项目也是用的https协议(url里会放token)。直接和http一样调用就好了，不需要本地配置证书了呢？作者回复: 本地证书是用来做双向认证的，服务器用客户端的证书来验证客户端的证书。
通常我们上网是单向认证，只验证服务器的身份，客户端（也就是用户）的身份不用证书验证。 3
2019-07-191、HTTPS相对于HTTP具有机密性，完整性，身份认证和不可否认的特性,HTTPS是HTTP over SSL/TLS,HTTP> HTTP over TCP/IP
2、实现机密性可以采用加密手段，接口签名实现完整性，数字签名用于身份认证作者回复: √
3
2019-07-20老师，请教一下，我们现在正在申请SSL证书，SSL证书有专门的机构颁发，文中老师提到HTTPS能够鉴别危险网站，防止黑客篡改，这些具体是怎么做到的呢？由专门机构颁发的原因是什么？谢谢老师。作者回复: 如果网站是http而不是https，那么浏览器就会认为网站不安全，有风险。
如果证书内容不完善，或者被列入了黑名单，那么浏览器也可以提示用户有危险。
这些的关键都是证书，用证书里的信息，来验证网站的有效性、真实性。
因为证书用来证明网站的身份，就像身份证、学位证一样，如果随便颁发，那么它的可靠性就得不到保证，所以必须要由指定信任的专门机构来颁发，由ca来“背书”，保证证书和它关联的网站是安全可靠的。 2
2019-12-11老师，以下问题，麻烦解答：
1. 这就是 HTTPS 与 HTTP 最大的区别，它能够鉴别危险的网站?这个仅仅从浏览器弹出不安全的提示来说的嘛？或者说怎么个鉴别法？
2. 网站是否真实也无法验证。加了https的网站也有可能是钓鱼网站吧？也没法验证啊？作者回复:
1.如果网站的证书不可信（过期、失效、被废除、伪造），那么就可以说明网站是不安全的，而http不能对网站有任何的认证措施。
2.证书有dv、ov、ev三种，能从ca的层面证明网站的所有者。
3.当然，如果网站故意作恶，https也无法制止，它只能证明网站确实是如证书所声明的，不是假冒的。 1
2019-11-081、https与http协议相比，最重要的是增加安全性，这种安全性的实现主要是依赖于两个协议底层依赖的协议是不同的，https在传输的应用层与传输层协议之间增加了ssl/tls,这就使得http在固有协议之上增加一层专用用于处理数据安全的工具。
2、机密性：数据使用非对称加密传输
完整性：数据用公钥加密，私钥解密，数据生成摘要算法，同步传输作者回复:
1.正确。
2.机密性主要用对称加密实现，非对称加密虽然也可以，但是效率太低，不实用。 1 1
2019-07-22P-256 是 NIST（美国国家标准技术研究所）和 NSA（美国国家安全局）推荐使用的曲线。而密码学界不信任这两个机构，所以 P-256 是有可能被秘密破解但出于政治考虑而未公开？作者回复: 是的，可能有这个隐患，就跟des一样。
1
2020-01-13老师您好！请问https和浏览器是怎么交互的 ，根证书又有什么关联 。浏览器获取服务https证书是根证书吗？作者回复:
往后看，后面都会讲，有不理解的再问。
2020-01-12有个疑问，维基百科 OSI 模型图表把 SSL\TLS 归到第6层（表示层），文中说 SSL 属于第5层（会话层），这里是不是写错了？ 附：
https://en.wikipedia.org/wiki/OSI_model#Layer_6:_Presentation_Layer作者回复: 这个分层没有统一的定论，ssl/tls在tcp/ip里属于应用层，但不能准确对应到osi的某一层，因为它即有会话功能，又有加解密表示。
我们只要会用、理解就行，不要过于拘泥于学术。
2020-01-081、https下层由“ TCP/IP”变成了“ SSL/TLS”，从而具备了机密性、完整性、身份认证、不可否认这四个特性
2、机密性由对称加密AES保证，完整性由SHA384摘要算法保证，身份认证和不可否认由RSA非对称加密保证（此处不了解，借鉴）作者回复:
good。
2019-12-12老师，目前项目使用了https，如何换成GmSSL呢？作者回复: GmSSL是OpenSSL的分支，但应用的并不广，nginx、Apache等项目并没有提供官方支持，可能需要比较多的自己开发改造了。
我觉得可以看一下它的官方文档，如何替换OpenSSL。
2019-09-261、外面的：uri里的协议名和默认端口号不一样，里面的：HTTP是基于TCP/IP，HTTPS是基于SSL/TLS
2、目前的理解：机密性分信道机密和内容机密，分别对应密钥交换算法和加密算法；身份认证对应签名算法；完整性对应摘要算法；不可否认性能理解，但还没参透对应什么。
继续学习作者回复: 认真的学习态度！
2019-09-24老师你好 https能有效防止抓包然后篡改报文数据,防止xxs攻击吗作者回复: https传输的内容是加密的，所以抓包后看不到明文，是无法窜改数据的。
但xss属于内容攻击，报文本身是合法的，所以它不能防止。
https只能保证数据传输安全，但在链接的两端不能提供保护。
2019-09-171. http是http over tcp/ip，https是http over tls/ssl over tcp/ip，https比http在会话层多了tls/ssl
2. 通过sha256摘要算法保证数据机密性、完整性，通过非对称加密算法实现身份认证，数据不可逆性作者回复: sha256保证的是完整性，不能实现机密性。
1
2019-08-12OpenSSL1.1.1 开始支持国密算法。作者回复: SM系列算法是国产算法，但在国际上用的不多。
2019-07-19老师好，有几个问题请教下：“收发报文不再使用 Socket API，而是调用专门的安全接口。”这个安全接口是什么呢？另外SSL/TLS运行在第五层，通讯不走下层TCP/IP的话，怎么把消息发到交换机呢？作者回复: 可以看一下https的协议栈，它的下面还是tcp/ip。
拿OpenSSL来说，它提供了一系列的接口函数，比如SSL_read、SSL_write，加密后封装成tls记录，再交给tcp传输。
2019-07-19请问一下老师我这边用WireShark抓包，发现两个TLS请求和响应之间和两个HTTP请求和响应之间有很多个TCP的包，请问一下这些TCP的包是一个HTTP的响应没有发完后续一致在通过TCP包发HTTP响应的responseBody吗？作者回复: 应该在wireshark里看一下这些tcp包的端口、发送方向，应该不是https相关的包，可以过滤一下试试。
https必须在ssl/tls握手之后才能发送http报文。
2019-07-191 明文、不安全vs四个特性，端口80vs端口443，无加密解密流畅性vs一定的性能消耗
2 对称加密算法保证机密性，散列值算法保证完成性和安全性作者回复: √