一文读懂HTTP和HTTPS访问：核心差异、加密原理与免费实现

一文读懂http和https访问简述http访问转化https的方式以及免费实现https的方式。http访问和https访问的定义http是指超文本传输协议是嫁接于服务器端口和浏览器端口的一种信息传输媒介http的建立仅需TCP三次握手之后就能进行http的信息传输https是基于http之上增加了一层安全协议的信息传输方式。全称是安全超文本传输协议虽然只是多了两个字但是实际产生的安全效果确是非常明显。https在TCP三次握手后还需要进行SSL/TLS的握手过程才会进入信息交互。http访问首先http访问是网站最基础的访问方式其全称为超文本传输协议旨在浏览器端口和服务器端口的数据传输方式在数据传输过程中是以明文传输的方式进行其实说到这里很多人就已经会发现明文传输这个关键词了这意味着站内信息只要外人想要去获取就可以获取到且对网站数据进行截流劫持都是比较简单的在https未普及前会经常发生一些医疗机构、物流企业、电商企业出现大规模的用户信息流失站内出现外部广告横生的情况。https访问https则完全不同其全称为安全超文本传输协议是在超文本传输协议的基础上增加了一道SSL证书对所有浏览器端口和服务器端口产生的信息流加密并保护即使别人获取到了站内交互信息没有对应的私钥公钥也无法正确破译其中内容这在很大程度上杜绝了一些不法分子的信息入侵也保护了隐私信息安全。对于开发者和安全研究人员使用抓包工具如Sniffmaster可以辅助分析HTTPS流量它支持HTTPS暴力抓包无需设置代理或根证书就能解密和监控SSL/TLS通信过程便于调试和安全评估。http和https访问的区别1、身份信息认证方面http是不支持服务器身份验证的任何网站都可以冒充合法网站。https是使用了受信任的证书颁发机构CA签发的SSL/TLS证书能够验证服务器身份、防止钓鱼攻击和域名冒充为用户提供网站的真实性和安全性的保证。注R3证书则是不验证服务器身份的SSL证书所以会存在相当一部分不法网站使用该证书导致该证书兼容性方面的欠缺2、连接方式方面http是一种无状态且无加密的文本数据传输协议其连接简单且无法长久。https则是基于SSL/TLS握手协议建立连接该过程涉及到身份验证、协商加密算法和交换会话密钥等过程会存在公钥和私钥的交互确保服务器端和浏览端的安全信息交换。3、端口方面http是默认使用80端口通信的。https则是默认使用443端口通信。4、安全性能方面http是明文传输不提供任何形式的数据加密所有的客户端与服务器之间的数据传输的信息都是可见的包括用户凭证、cookie和其他隐私信息。这使得http非常容易受到中间人攻击。https是通过SSL/TLS协议对传输数据进行加密确保了数据的隐私性。即便有第三方获取了加密数据也很难进行读取和篡改信息。5、性能成本http由于没有加密环节因此在同等环境下传输速度相对会更快一些资源消耗也会少一些。https由于涉及到了加密操作有可能会使得加载速度变慢一些但是影响不大目前服务器和浏览器的优化措施做的还是很好的。同时在购买和部署SSL/TLS证书时会产生一定的费用。简述HTTPS的原理和加密逻辑1、握手阶段客户端如浏览器向服务器发起HTTPS连接请求。服务器返回其SSL/TLS证书该证书包含了服务器的身份信息如域名、公钥以及由受信任的CA颁发的数字签名。2、证书验证客户端检查服务器证书的有效性包括证书是否由受信任的CA颁发、证书是否过期、服务器域名是否与证书中的域名匹配等。如果证书验证成功客户端信任服务器的身份。3、密钥交换客户端和服务器使用非对称加密算法如RSA或ECC协商出一个对称加密密钥。这个过程可能涉及以下步骤客户端生成一个随机数称为预主密钥并使用服务器的公钥对其进行加密然后发送给服务器。服务器使用其私钥解密得到预主密钥。4、会话加密双方现在都拥有了相同的对称密钥后续的通信将使用这个对称密钥进行加密和解密。对称加密算法如AES速度快用于实际的数据传输以保证通信的效率和安全性。5、消息完整性检查为了确保数据在传输过程中没有被篡改HTTPS还使用了消息认证码MAC或者基于散列的消息认证码HMAC。每个加密的消息都会附带一个MAC值接收方可以使用同样的密钥和算法计算出一个新的MAC值并与接收到的MAC值进行比较如果一致则说明数据未被篡改。6、断开连接当通信结束时会话密钥会被丢弃以防止在未来被重用和破解。在有HTTPS保护下的网站相对来说也具有非常重要的优势作用。证明网站的真实性、用户在访问网站的时候不会被误导提供安全性网络证书的加密性可以确保数据在传输过程中不会发生数据被篡改、和窃取7、改善用户的一定体验度不会出现风险提示实现https的方式免费实现https的方式目前市面上有一些申请免费SSL证书的途径和方式例如Let’s Encrypt得R3证书三个月证书有效期唯一的缺点可能就是兼容会比较差大多数浏览器在识别证书的过程中会出现提示风险和不安全通知安全性也没有任何保障。再例如JoySSL目前提供多种免费证书应用于各种不同的域名类型像是免费的单域名证书、多域名证书、和万众期待的通配证书专门针对于政务网站、高校教育网站也有一年期免费证书提供均可以免费给各个网站服务器提供免费申请。目前支持的免费证书包含单域名证书、多域名证书、通配符泛域名证书这几种针对于高校和政务部门也会有对应的免费一年期证书。完成部署之后即可实现网站的https访问浏览器端口就不会再出现“不安全提示了”。在分析和测试HTTPS连接时工具如Sniffmaster能够帮助抓取和解密数据流支持TCP和UDP协议抓包无需越狱或root方便开发者验证证书和加密效果。