看完这篇文章,我奶奶都懂了https的原理

看完这篇文章,我奶奶都懂了https的原理

华为交换机:ISSU功能介绍

看完这篇文章,我奶奶都懂了https的原理

 

 

Http存在的问题

上过网的同伙都知道,网络是异常不平安的。尤其是公开场合许多免费的wifi,或许只是攻击者的一个诱饵。另有人人平时喜欢用的万能钥匙,等等。那我们平时上网可能会存在哪些风险呢?

  1. 泄密,个人隐私、账户密码等信息可能会被偷取。
  2. 窜改,收到的数据可能被第三方修悔改,或被植入广告等。
  3. 冒充,接见的站点非目的服务器站点。如域名诱骗、域名挟制、钓鱼网站等。

可能住你隔邻穿人字拖、语言都略显羞涩的小王,一到夜深人静的时刻就最先偷窥你的一举一动!陪你一起看91某社区的影戏还好,万一窃取了各购物网站或其他站点的登录信息就……是不是想想有些畏惧呢!

看完这篇文章,我奶奶都懂了https的原理

 

为什么别人能获取你上网的数据呢?有过一定网络基础的同伙若干都对TCP/IP有些领会,对种种握手挥手早已背得滚瓜烂俗,对http协议也早了然于心。http是应用层的协议,位于TCP/IP参考模子的最上层。用户数据经由应用层、传输层、网络层、链路层的层层封装后经由物理层发送到目的机械。在这几层中,数据都没有经由加密处置,以是一旦别人获取到你的数据包,就能容易的获取到数据的信息。

为了珍爱数据隐私,让数据不再“裸奔”。对需要传输的数据举行加密处置就很有必要了。现在而言,加密算法可以分两大类,一类是对称加密算法,另有一类是非对称加密算法。

对称加密

对称加密算法的加密和解密都是用同一个密钥。在一定条件下,对称加密可以解决数据传输平安性的问题。好比我在登录某个网站的时刻,需要填写账户名和密码举行登录,客户端把登录的表单信息举行对称加密后再传输,这时刻就算小王截获数据包,他也无法获取数据的内容,由于数据已经被加密了。然则服务器收到数据后也是一脸懵逼,你发来的加密的数据包服务器也不知道解密的密钥!

看完这篇文章,我奶奶都懂了https的原理

 

那是不是客户端与服务端在通讯之前应该先协商密钥呢?客户端可以通知服务器需要开启数据传输了,然后服务器告诉客户端,咱们以后用xxxx这个密钥举行加密解密吧!

看完这篇文章,我奶奶都懂了https的原理

 

这样内容是可以加密传输了,然则上图中第一步协商密钥的历程又同样存在平安的问题!万一小王截获了协商密钥的数据,那后续加密传输的数据对小王来说无异于未加密!以是,对称加密存在密钥协商的问题

非对称加密

基于对称加密存在的问题,又有了非对称加密。非对称加密算法需要一组密钥对,分别是公钥和私钥,这两个密钥是成对泛起的。公钥加密的内容需要用私钥解密,私钥加密的内容需要用公钥解密!私钥由服务器自己保留,公钥发送给客户端。客户端拿到公钥后就可以对请求举行加密后发送给服务端了,这时刻就算被小王截获,小王没有私钥也无法解密发送的内容,这样确保了客户端发送到服务端数据的“平安”!然则由于公钥也需要通过网络发送给客户端,同样能被小王截获,这样服务器私钥加密后的内容依然可以被小王截获并解密,而且非对称加密的效率很低。

对称加密和非对称加密都存在密钥传输的问题,然则至少非对称加密可以保证客户端传输给服务端的内容无法被“破解”,而对称加密算法性能又比较好,那我们是不是可以这样子呢。第一次通讯的时刻服务端发送公钥给客户端,由客户端发生一个对称密钥,通过服务端的公钥加密后发送给服务端,后续的交互中都通过对称密钥举行加密传输。也就是说先通过非对称密钥加密对称密钥,通过对称密钥加密现实请求的内容。

看完这篇文章,我奶奶都懂了https的原理

 

上面的方案看起来天衣无缝,小王拿到数据后貌似就无偿下手了,然则真的就天意无缝了吗?我们看看下图:

看完这篇文章,我奶奶都懂了https的原理

 

也就是说小王可以伪装成服务器,与客户端举行通讯。类似于你与服务端之间多了一个中间商!也就是说协商密钥的历程依然存在破绽!

有点脑阔疼!还能不能让我平安的上网了!就没有更平安的机制了么? 在协商密钥的历程中,客户端怎么能确定对方是真正的目的服务器呢?怎么证实服务器的身份呢?我们先领会一下数字证书!

数字证书

我们生涯中有种种证,有能证实自己是个有身份的人的身份证,有能证实自己读了几年书的毕业证。这些证都是由某些权威机关认证、无法伪造的,能证实自己身份的凭证。那服务器是不是也能有个类似身份证的器械,在与服务器举行通讯的时刻证实自己确实是目的服务器而不是小王伪造的呢?在生涯中这些证件都是事实在在能看得见摸得着的,而盘算机中的证书是虚拟的,看得见然则摸不着,是数据形式纪录的,以是叫数字证书!

客户端第一次与服务器举行通讯的时刻,服务器需要出示自己的数字证书,证实自己的身份以及自己的公钥,类似如下(现实上就是一堆数据,这里为了直观)

看完这篇文章,我奶奶都懂了https的原理

 

那这个数字证书怎么发生的呢?总不能是服务器自己造一个吧?上面说到了我们生涯中的证书是由权威机构发表的、无法伪造的,好比身份证就是由派出所发证、毕业证由教育部发证,若是需要验证真假,只需要上相关的系统输入编号查询就能查到了!那我们数字证书也应该有这两个特征-权威机构发表、防伪

国内免费安全公共DNS服务器推荐

CA机构

CA机构就是数字证书发表的权威机构,卖力发表证书以及验证证书的合法性。若是服务器需要做个有身份的服务器,就需要向CA机构提交申请,固然有钱才好做事,交钱才气给你办证……

服务器向CA机构提交申请,需要提交站点的信息如域名、公司名称、公钥等等,CA审批无误之后就可以给服务器发表证书了!

客户端在拿到服务器的证书后,就需要验证证书编号是否能在对应的CA机构查到,而且核对证书的基本信息如证书上的域名是否与当前接见的域名一致等等,还可以拿到证书中服务器的公钥信息用于协商对称密钥!

证书发表了,可是又怎么防止伪造怎么保证在传输历程中不被窜改呢?万一小王截获到数字证书,把公钥改成自己的那不是依然无法保证平安了么?这就需要数字署名了!

数字署名

与公司签过劳动条约的同伙应该都知道,在条约信息的填写中,是不能有涂改的,否则需要重新填写!而且在最后需要甲方和乙方署名而且盖章。一旦署名盖章后的条约就具有了执法的效力,条约就不能再修改。署名和盖章操作就是防止条约伪造,划定不能修改就防止了条约被窜改

在现实生涯中署名、盖章操作是实实在在的动作,作用在详细某个物体上的!然则我们的数字证书自己就是虚拟的,怎么去给一个虚拟的证书署名盖章呢?数字署名又是什么机制呢?

我们在做权限系统的时刻,存储用户密码的时刻都市经由MD5盘算摘要后存储,在登录的时刻盘算用户填写的密码的MD5摘要与数据库存储的摘要举行对比,若是一致则密码准确,否则登录失败!MD5是不可逆的,且差别的数据盘算出来的摘要是不一样的(固然也有极小的概率会hash碰撞),基于这个特征,就有了数字署名的思绪。

服务器提交自己的基本信息想CA机构提出申请,CA机构在给服务器发表证书的时刻,会连同数字证书以及凭据证书盘算的摘要一同发送给服务器,且这个摘要是需要经由CA机构自己的私钥举行加密的。申请流程如下:

看完这篇文章,我奶奶都懂了https的原理

 

啥?不够直观?那我们再来个直看法的!通过下图我们能看到,CA给服务器发表的证书是有自己专属的“公章”的。

看完这篇文章,我奶奶都懂了https的原理

 

哪些CA机构对于客户端来说是权威或者说是认可的呢?我们打开IE浏览器能看到客户端内置的CA机构的信息,包含了CA的公钥、署名算法、有效期等等...

看完这篇文章,我奶奶都懂了https的原理

 

服务器在与客户端通讯的时刻,就会将数字证书和数字署名出示给客户端了。客户端拿到数字证书和数字署名后,先通过操作系统或者浏览器内置信托的CA机构找到对应CA机构的公钥对数字署名举行解密,然后接纳同样的摘要算法盘算数字证书的摘要,若是自己盘算的摘要与服务器发来的摘要一致,则证书是没有被窜悔改的!这样就防止了窜改!第三方拿不到CA机构的私钥,也就无法对摘要举行加密,若是是第三方伪造的署名自然也在客户端也就无法解密,这就防止了伪造!以是数字署名就是通过这种机制来保证数字证书被窜改和被伪造。详细流程如下:

看完这篇文章,我奶奶都懂了https的原理

 

啥?又不够直观?那我们继续...

看完这篇文章,我奶奶都懂了https的原理

 

这里需要注重一点,一个是CA的公钥,内置在客户端,用来解密数字署名!另一个是目的服务器的公钥,在数字证书内容里,用来协商对称密钥!

HTTPS

本文的题目是HTTPS,然则到现在为止HTTPS只字未提!实在HTTPS=HTTP+SSL,在HTTP层和TCP之间加了一个SSL/TLS层,如下图:

看完这篇文章,我奶奶都懂了https的原理

 

SSL(Secure Sockets Layer)中文叫“平安套接层”,厥后由于广泛应用,SSL标准化之后就改名为TLS(Transport Layer Security)了,实在HTTPS就是通过上面说到的那些手段来解决网络上可能存在的数据泄密、窜改、冒充的这些问题,保证网络传输的平安的啦!

看到这里的你,对HTTPS的原理是否懂了呢,横竖我奶奶看完已经懂了!手动狗头(* ̄︶ ̄)

(完)

3 个方便的命令行网速度测试工具

分享到 :
相关推荐

发表评论

登录... 后才能评论