阅读本文大概需要 6 分钟。
来自:https://blog.leapmie.com/archives/418/
为什么用了 HTTPS 就是安全的?
HTTPS 的底层原理如何实现?
用了 HTTPS 就一定安全吗?
HTTPS 的实现原理
浏览器发起 HTTPS 请求。
服务端返回 HTTPS 证书。
客户端验证证书是否合法,如果不合法则提示告警。
当证书验证合法后,在本地生成随机数。
通过公钥加密随机数,并把加密后的随机数传输到服务端。
服务端通过私钥对随机数进行解密。
服务端通过客户端传入的随机数构造对称加密算法,对返回结果内容进行加密后传输。
为什么数据传输是用对称加密?
为什么需要 CA 认证机构颁发证书?
本地请求被劫持(如 DNS 劫持等),所有请求均发送到中间人的服务器。
中间人服务器返回中间人自己的证书。
客户端创建随机数,通过中间人证书的公钥对随机数加密后传送给中间人,然后凭随机数构造对称加密对传输内容进行加密传输。
中间人因为拥有客户端的随机数,可以通过对称加密算法进行内容解密。
中间人以客户端的请求内容再向正规网站发起请求。
因为中间人与服务器的通信过程是合法的,正规网站通过建立的安全通道返回加密后的数据。
中间人凭借与正规网站建立的对称加密算法对内容进行解密。
中间人通过与客户端建立的对称加密算法对正规内容返回的数据进行加密传输。
客户端通过与中间人建立的对称加密算法对返回结果数据进行解密。
浏览器是如何确保 CA 证书的合法性?
①证书包含什么信息?
颁发机构信息
公钥
公司信息
域名
有效期
指纹
......
②证书的合法性依据是什么?
③浏览器如何验证证书的合法性?
验证域名、有效期等信息是否正确。证书上都有包含这些信息,比较容易完成验证。
判断证书来源是否合法。每份签发证书都可以根据验证链查找到对应的根证书,操作系统、浏览器会在本地存储权威机构的根证书,利用本地根证书可以对对应机构签发证书完成来源验证。
判断证书是否被篡改。需要与 CA 服务器进行校验。
判断证书是否已吊销。通过 CRL(Certificate Revocation List 证书注销列表)和 OCSP(Online Certificate Status Protocol 在线证书状态协议)实现。
其中 OCSP 可用于第 3 步中以减少与 CA 服务器的交互,提高验证效率。
④只有认证机构可以生成证书吗?
本地随机数被窃取怎么办?
用了 HTTPS 会被抓包吗?
总结
推荐阅读:
【109期】面试官:我们说StringBuilder是线程不安全的,是什么原因呢?
【108期】面试官:你真的知道 Java 类是如何被加载的吗?
微信扫描二维码,关注我的公众号
朕已阅