HTTPS协议[SSL/TLS] - 学习/实践

àì夳堔傛蜴生んèń 2022-12-05 05:15 197阅读 0赞

1.应用场景

<table> 
 <tbody> 
  <tr> 
   <td> <p>主要了解HTTPS的原理以及如何使用.</p> <p>然后应用在开发中，构建安全高效的应用/服务</p> </td> 
  </tr> 
 </tbody> 
</table>

2.学习/操作

<table> 
 <tbody> 
  <tr> 
   <td> <h1>1. 文档阅读</h1> 
    <blockquote> 
     <p><a href="https://time.geekbang.org/column/article/134752" title="01 | 网络互联的昨天、今天和明天：HTTP 协议的演化-极客时间" rel="nofollow">01 | 网络互联的昨天、今天和明天：HTTP 协议的演化-极客时间</a></p> 
     <p><a href="https://time.geekbang.org/column/article/135864" title="02 | 为HTTP穿上盔甲：HTTPS-极客时间" rel="nofollow">02 | 为HTTP穿上盔甲：HTTPS-极客时间</a></p> 
     <p><a href="https://time.geekbang.org/column/article/156181" title="36 | HTTPS：让数据传输更安全-极客时间" rel="nofollow">36 | HTTPS：让数据传输更安全-极客时间</a></p> 
     <p><a href="http://www.ruanyifeng.com/blog/2014/09/illustration-ssl.html" title="图解SSL/TLS协议 - 阮一峰的网络日志" rel="nofollow">图解SSL/TLS协议 - 阮一峰的网络日志</a></p> 
    </blockquote> <h1>2. 整理输出</h1> <p>...</p> <p></p> <h2>存在的问题:</h2> <p><img alt="" src="https://img-blog.csdnimg.cn/img_convert/0d4e357333f69bd5bb7b33e851f49435.png"></p> <h2>解决办法:</h2> <p><img alt="" src="https://img-blog.csdnimg.cn/img_convert/0e97ae71bfb65e7073f820eaae9b56af.png"></p> <h2>第一版：使用对称加密</h2> <p><img alt="" src="https://img-blog.csdnimg.cn/img_convert/200bdb8c98e2db8a222df98f3fd4ff77.png"></p> <p></p> <h2>第二版：使用非对称加密</h2> <p><img alt="" src="https://img-blog.csdnimg.cn/img_convert/79632d26bca10a5ff16cbff5c16c1ad0.png"></p> <p></p> <h2>第三版：对称加密和非对称加密搭配使用</h2> <p><img alt="" src="https://img-blog.csdnimg.cn/img_convert/4e48a37e4c2498623c729e6c21cae63e.png"></p> <p></p> <h2>第四版：添加数字证书</h2> <p><img alt="" src="https://img-blog.csdnimg.cn/img_convert/161ee67853cfc46b639a43c9989e7493.png"></p> <p></p> <p></p> <p></p> <h2>数字证书的申请和验证</h2> 
    <blockquote> 
     <p>TBD</p> 
     <p></p> 
     <p>另外，在申请和使用证书的过程中，还需要注意以下三点：</p> 
     <ul> 
      <li>申请数字证书是不需要提供私钥的，要确保私钥永远只能由服务器掌握；</li> 
      <li>数字证书最核心的是 CA 使用它的私钥生成的数字签名；</li> 
      <li>内置 CA 对应的证书称为根证书，根证书是最权威的机构，它们自己为自己签名，我们把这称为自签名证书。</li> 
     </ul> 
    </blockquote> <p></p> <p>后续补充</p> <p>...</p> </td> 
  </tr> 
 </tbody> 
</table>

3.问题/补充

<table> 
 <tbody> 
  <tr> 
   <td> <h3>1. 我有一个地方不是很理解。CA的公钥，浏览器是怎么拿到的。是浏览器第一次请求服务器的时候，CA机构给浏览器的吗？求大神或者老师解答</h3> 
    <blockquote> 
     <p>作者回复:</p> 
     <p><br> 我们先从证书类型开始：<br><br> 我们知道CA是一个机构，它的职责是给一些公司或者个人颁发数字证书，在颁发证书之前，有一个重要的环节，就是审核申请者所提交资料的合法性和合规性。<br> 不过申请者的类型有很多：<br><br> 如果申请者是个人，CA只需要审核所域名的所有权就行了，审核域名所有权有很多中方法，在常用的方法是让申请者在域名上放一个文件，然后CA验证该文件是否存在，即可证明该域名是否是申请者的。我们把这类数字证书称为DV，审核这种个人域名信息是最简单的，因此CA收取的费用也是最低的，有些CA甚至免费为个人颁发数字证书。<br><br> 如果申请者是普通公司，那么CA除了验证域名的所有权之外，还需要验证公司公司的合法性，这类证书通常称为OV。由于需要验证公司的信息，所有需要额外的资料，而且审核过程也更加复杂，申请OV证书的价格也更高，主要是由于验证公司的合法性是需要人工成本的。<br><br> 如果申请者是一些金融机构、银行、电商平台等，所以还需额外的要验证一些经营资质是否合法合规，这类证书称为EV。申请EV的价格非常高，甚至达到好几万一年，因为需要人工验证更多的内容。<br><br> 好了，我们了解了证书有很多种不同的类型，DV这种就可以自动审核，不过OV、EV这种类型的证书就需要人工验证了，而每个地方的验证方式又可能不同，比如你是一家美国本地的CA公司，要给中国的一些金融公司发放数字证书，这过程种验证证书就会遇到问题，因此就需要本地的CA机构，他们验证会更加容易。<br><br> 因此，就全球就有很多家CA机构，然后就出现了一个问题，这些CA是怎么证明它自己是安全的？如果一个恶意的公司也成立了一个CA机构，然后给自己颁发证书，那么这就非常危险了，因此我们必须还要实现一个机制，让CA证明它自己是安全无公害的。<br><br> 这就涉及到数字证书链了。<br><br> 要讲数字证书链，就要了解我们的CA机构也是分两种类型的，中间CA(Intermediates CAs)和根CA(Root CAs)，通常申请者都是向中间CA去申请证书的，而根CA作用就是给中间CA做认证，通常，一个根CA会认证很多中间的CA，而这些中间CA又可以去认证其它的中间CA。<br><br> &nbsp;比如你可以在Chrome上打开极客时间的官网，然后点击地址栏前面的那把小锁，你就可以看到*.geekbang,org的证书是由中间CA GeoTrust RSA CA2018颁发的，而中间CA GeoTrust RSA CA2018又是由根CA DigiCert Global Root CA颁发的，所以这个证书链就是：*.geekbang,org---&gt;GeoTrust RSA CA2018--&gt;DigiCert Global Root CA。<br><br> 因此浏览器验证极客时间的证书时，会先验证*.geekbang,org的证书，如果合法在验证中间CA的证书，如果中间CA也是合法的，那么浏览器会继续验证这个中间CA的根证书。<br><br> 这时候问题又来了，怎么证明根证书是合法的？<br><br> 浏览器的做法很简单，它会查找系统的根证书，如果这个根证书在操作系统里面，那么浏览器就认为这个根证书是合法的，如果验证的根证书不在操作系统里面，那么就是不合法的。<br><br> 而操作系统里面这些内置的根证书也不是随便内置的，这些根CA都是通过WebTrust国际安全审计认证。<br><br> 那么什么又是WebTrust认证？<br><br> WebTrust（网络信任）认证是电子认证服务行业中唯一的国际性认证标准，主要对互联网服务商的系统及业务运作的商业惯例和信息隐私，交易完整性和安全性。WebTrust认证是各大主流的浏览器、微软等大厂商支持的标准，是规范CA机构运营服务的国际标准。在浏览器厂商根证书植入项目中，必要的条件就是要通过WebTrust认证，才能实现浏览器与数字证书的无缝嵌入。<br><br> 目前通过WebTrust认证的根CA有 Comodo，geotrust，rapidssl，symantec，thawte，digicert等。也就是说，这些根CA机构的根证书都内置在个大操作系统中，只要能从数字证书链往上追溯到这几个根证书，浏览器会认为使用者的证书是合法的。<br><br> 这也同时回答了你上面的问题。</p> 
    </blockquote> </td> 
  </tr> 
 </tbody> 
</table>

4.参考

<table> 
 <tbody> 
  <tr> 
   <td> <p><a href="https://time.geekbang.org/column/article/134752" title="01 | 网络互联的昨天、今天和明天：HTTP 协议的演化-极客时间" rel="nofollow">01 | 网络互联的昨天、今天和明天：HTTP 协议的演化-极客时间</a></p> <p><a href="https://time.geekbang.org/column/article/135864" title="02 | 为HTTP穿上盔甲：HTTPS-极客时间" rel="nofollow">02 | 为HTTP穿上盔甲：HTTPS-极客时间</a></p> <p><a href="https://time.geekbang.org/column/article/156181" title="36 | HTTPS：让数据传输更安全-极客时间" rel="nofollow">36 | HTTPS：让数据传输更安全-极客时间</a></p> <p><a href="http://www.ruanyifeng.com/blog/2014/09/illustration-ssl.html" title="图解SSL/TLS协议 - 阮一峰的网络日志" rel="nofollow">图解SSL/TLS协议 - 阮一峰的网络日志</a></p> </td> 
  </tr> 
 </tbody> 
</table>

后续补充

...