HTTP和HTTPS的区别及HTTPS加密算法

Posted 2020-10-02 程序员简笔

HTTP和HTTPS的概念      

       HTTP：是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准（TCP），用于从WWW服务器传输超文本到本地浏览器的传输协议，它可以使浏     览器更加高效，使网络传输减少。http协议属于明文传输协议，交互过程以及数据传输都没有进行加密，通信双方也没有进行任何认证，通信过程非常容易遭遇劫持、监听、篡改，严重情况下，会造成恶意的流量劫持等问题，甚至造成个人隐私泄露（比如银行卡卡号和密码泄露）等严重的安全问题。

　　HTTPS：是以安全为目标的HTTP通道，简单讲是HTTP的安全版，即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。

　　HTTPS协议的主要作用可以分为两种：一种是建立一个信息安全通道，来保证数据传输的安全；另一种就是确认网站的真实性。

HTTP和HTTPS的工作原理：

      HTTP：当用户在浏览器的地址栏中输入所要访问Web的URI以后，HTTP的处理过程即会开始，HTTP中默认的端口是80端口，它的工作机制，首先是客户端向服务器的80端口建立一个TCP连接，赞后然后再这个连接上进行请求和应答以及数据报文的发送。具体过程成如下：

      一次HTTP操作称为一个事务，其工作整个过程如下：
       (1)、地址解析
  如用客户端浏览器请求这个页面：http://localhost.com:8080/index.htm

     从中分解出协议名、主机名、端口、对象路径等部分，对于我们的这个地址，解析得到的结果如下：
     协议名：http
     主机名：localhost.com
     端口：8080
     对象路径：/index.html

      在这一步，需要域名系统DNS解析域名localhost.com,得主机的IP地址。

     (2) 封装HTTP请求数据包
  把以上部分结合本机自己的信息，封装成一个HTTP请求数据包

    (3) 封装成TCP包，建立TCP连接（TCP的三次握手）
       在HTTP工作开始之前，客户机（Web浏览器）首先要通过网络与服务器建立连接，该连接是通过TCP来完成的，该协议与IP协议共同构建Internet，即著名的TCP/IP协议族，因此Internet又被称作是TCP/IP网络。HTTP是比TCP更高层次的应用层协议，根据规则，只有低层协议建立之后才能，才能进行高层协议的连接，因此，首先要建立TCP连接，一般TCP连接的端口号是80。这里是8080端口

    (4)客户机发送请求命令
       建立连接后，客户机发送一个请求给服务器，请求方式的格式为：统一资源标识符（URL）、协议版本号，后边是MIME信息包括请求修饰符、客户机信息和可内容。

    (5)服务器响应
   服务器接到请求后，给予相应的响应信息，其格式为一个状态行，包括信息的协议版本号、一个成功或错误的代码，后边是MIME信息包括服务器信息、实体信息和可能的内容。
        实体消息是服务器向浏览器发送头信息后，它会发送一个空白行来表示头信息的发送到此为结束，接着，它就以Content-Type应答头信息所描述的格式发送用户所请求的实际数据

    (6)服务器关闭TCP连接
     一般情况下，一旦Web服务器向浏览器发送了请求数据，它就要关闭TCP连接，然后如果浏览器或者服务器在其头信息加入了这行代码
    Connection:keep-alive
   TCP连接在发送后将仍然保持打开状态，于是，浏览器可以继续通过相同的连接发送请求。保持连接节省了为每个请求建立新连接所需的时间，还节约了网络带宽。
服务器将响应信息传给客户端，响应体中的内容可能是一个html页面，也可能是一张图片，通过输入流将其读出，并写回到显示器上。

      HTTPS：HTTPS其实是有两部分组成：HTTP + SSL / TLS，也就是在HTTP上又加了一层处理加密信息的模块。服务端和客户端的信息传输都会通过TLS进行加密，所以传输的数据都是加密后的数据。服务器在给客户端发送的数据是加密的，只有服务器和客户端才能读懂，而且在进行数据交互的时，还需要用堆成秘钥（下面有概念）进行验证，但是服务器有事如何将对称秘钥发送给客户端？（下面将会讲到）

     

HTTP和HTTPS的区别:

       （1）HTTPS 协议需要到CA(电子商务认证机构)申请证书，一般免费证书很少，需要交费。

    （2）HTTP 是超文本传输协议，信息是明文传输，HTTPS 则是具有安全性的ssl加密传输协议

    （3）HTTP 和 HTTPS 使用的是完全不同的连接方式用的端口也不一样,前者是80,后者是443。

    （4）HTTP 的连接很简单,是无状态的

    （5）HTTPS 协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议 要比 HTTP 协议安全

    （6）HTTPS 内容传输经过完整性校验

    （7）HTTPS 内容经过对称加密，每个连接生成一个唯一的加密密钥

    （8）HTTPS 第三方无法伪造服务端（客户端）身份 

HTTPS的加密算法: 

      首先介绍两个概念：

      对称秘钥:对称密钥加密又叫专用密钥加密，即发送和接收数据的双方必使用相同的密钥对明文进行加密和解密运算。

      非对称秘钥：非对称加密算法需要两个密钥：公开秘钥（publickey）和私有密钥（privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

  1.HTTPS保证数据安全的机制：

          在HTTP的概念中介绍了HTTP是非常不安全的，那么在服务器与客户端传递数据的过程中HTTPS是如何保证数据的安全呢？

            1.客户端向服务器端发起SSL连接请求；

            2 服务器把公钥发送给客户端，并且服务器端保存着唯一的私钥；

            3.客户端用公钥对双方通信的对称秘钥进行加密，并发送给服务器端；

            4.服务器利用自己唯一的私钥对客户端发来的对称秘钥进行解密，在此过程中，中间方无法对其解密（即是客户端也无法解密，因为只有服务器端拥有唯一的私            钥），这样保证了对称秘钥在收发过程中的安全，此时，服务器端和客户端拥有了一套完全相同的对称秘钥。

            5.进行数据传输，服务器和客户端双方用公有的相同的对称秘钥对数据进行加密解密，可以保证在数据收发过程中的安全，即是第三方获得数据包，也无法对其尽心加密，解密和篡改。