面试官：为什么HTTPS是安全的

我会带着你远行 2022-12-25 12:58 155阅读 0赞

关注微信公众号“java大数据修炼之道”,选择“设为星标 ”  优质文章和精品资源, 第一时间送达

![format_png][]

关注公众号后台回复**资源**获取实战教学资料+视频

哈喽，各位新来的小伙伴们，大家好！由于公众号做了改版，为了保证公众号的资源能准时推送到你手里，大家记得将咱们的公众号 **加星标置顶** ，在此真诚的表示感谢~

来源：r6a.cn/efZ2

### 1. HTTP 协议 ###

在谈论 HTTPS 协议之前，先来回顾一下 HTTP 协议的概念。

1.1 HTTP 协议介绍

HTTP 协议是一种基于文本的传输协议，它位于 OSI 网络模型中的`应用层`。

![format_png 1][]

HTTP 协议是通过客户端和服务器的请求应答来进行通讯，目前协议由之前的 **RFC 2616** 拆分成立六个单独的协议说明（RFC 7230、RFC 7231、RFC 7232、RFC 7233、RFC 7234、RFC 7235），通讯报文如下：

*  请求

POST http://www.baidu.com HTTP/1.1
    Host: www.baidu.com
    Connection: keep-alive
    Content-Length: 7
    User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/71.0.3578.98 Safari/537.36
    
    wd=HTTP

*  响应

HTTP/1.1 200 OK
    Connection: Keep-Alive
    Content-Encoding: gzip
    Content-Type: text/html;charset=utf-8
    Date: Thu, 14 Feb 2019 07:23:49 GMT
    Transfer-Encoding: chunked
    
    <html>...</html>

1.2 HTTP 中间人攻击

HTTP 协议使用起来确实非常的方便，但是它存在一个致命的缺点：`不安全`。

我们知道 HTTP 协议中的报文都是以明文的方式进行传输，不做任何加密，这样会导致什么问题呢？下面来举个例子：

1.  小明在 JAVA 贴吧发帖，内容为`我爱JAVA`：  
    ![format_png 2][]
2.  被中间人进行攻击，内容修改为`我爱PHP`  
    ![format_png 3][]
3.  小明被群嘲(手动狗头)

可以看到在 HTTP 传输过程中，中间人能看到并且修改 HTTP 通讯中所有的请求和响应内容，所以使用 HTTP 是非常的不安全的。

1.3 防止中间人攻击

这个时候可能就有人想到了，既然内容是明文那我使用`对称加密`的方式将报文加密这样中间人不就看不到明文了吗，于是如下改造：

1.  双方约定加密方式  
    ![format_png 4][]
2.  使用 AES 加密报文  
    ![format_png 5][]

这样看似中间人获取不到明文信息了，但其实在通讯过程中还是会以明文的方式暴露加密方式和秘钥，如果第一次通信被拦截到了，那么秘钥就会泄露给中间人，中间人仍然可以解密后续的通信：

![format_png 6][]

那么对于这种情况，我们肯定就会考虑能不能将秘钥进行加密不让中间人看到呢？答案是有的，采用`非对称加密`，我们可以通过 RSA 算法来实现。

在约定加密方式的时候由服务器生成一对`公私钥`，服务器将`公钥`返回给客户端，客户端本地生成一串秘钥(`AES_KEY`)用于`对称加密`，并通过服务器发送的`公钥`进行加密得到(`AES_KEY_SECRET`)，之后返回给服务端，服务端通过`私钥`将客户端发送的`AES_KEY_SECRET`进行解密得到`AEK_KEY`,最后客户端和服务器通过`AEK_KEY`进行报文的加密通讯，改造如下：

![format_png 7][]

可以看到这种情况下中间人是窃取不到用于`AES加密`的秘钥，所以对于后续的通讯是肯定无法进行解密了，那么这样做就是绝对安全了吗？

所谓道高一尺魔高一丈，中间人为了对应这种加密方法又想出了一个新的破解方案，既然拿不到`AES_KEY`，那我就把自己模拟成一个客户端和服务器端的结合体，在`用户->中间人`的过程中中间人模拟服务器的行为，这样可以拿到用户请求的明文，在`中间人->服务器`的过程中中间人模拟客户端行为，这样可以拿到服务器响应的明文，以此来进行中间人攻击：

![format_png 8][]

这一次通信再次被中间人截获，中间人自己也伪造了一对公私钥，并将公钥发送给用户以此来窃取客户端生成的`AES_KEY`，在拿到`AES_KEY`之后就能轻松的进行解密了。

中间人这样为所欲为，就没有办法制裁下吗，当然有啊，接下来我们看看 HTTPS 是怎么解决通讯安全问题的。

### 2. HTTPS 协议 ###

2.1 HTTPS 简介

HTTPS 其实是`SSL+HTTP`的简称,当然现在`SSL`基本已经被`TLS`取代了，不过接下来我们还是统一以`SSL`作为简称，`SSL`协议其实不止是应用在`HTTP`协议上，还在应用在各种应用层协议上，例如：`FTP`、`WebSocket`。

其实`SSL`协议大致就和上一节`非对称加密`的性质一样，握手的过程中主要也是为了交换秘钥，然后再通讯过程中使用`对称加密`进行通讯，大概流程如下：

![format_png 9][]

这里我只是画了个示意图，其实真正的 SSL 握手会比这个复杂的多，但是性质还是差不多，而且我们这里需要关注的重点在于 HTTPS 是如何防止中间人攻击的。

通过上图可以观察到，服务器是通过 SSL 证书来传递`公钥`，客户端会对 SSL 证书进行验证，其中证书认证体系就是确保`SSL`安全的关键，接下来我们就来讲解下`CA 认证体系`，看看它是如何防止中间人攻击的。

2.2 CA 认证体系

上一节我们看到客户端需要对服务器返回的 SSL 证书进行校验，那么客户端是如何校验服务器 SSL 证书的安全性呢。

*  权威认证机构
    
    在 CA 认证体系中，所有的证书都是由权威机构来颁发，而权威机构的 CA 证书都是已经在操作系统中内置的，我们把这些证书称之为`CA根证书`：
    
    ![format_png 10][]
 *  签发证书
    
    我们的应用服务器如果想要使用 SSL 的话，需要通过权威认证机构来签发`CA证书`，我们将服务器生成的公钥和站点相关信息发送给`CA签发机构`，再由`CA签发机构`通过服务器发送的相关信息用`CA签发机构`进行加签，由此得到我们应用服务器的证书，证书会对应的生成证书内容的`签名`，并将该`签名`使用`CA签发机构`的私钥进行加密得到`证书指纹`，并且与上级证书生成关系链。
    
    这里我们把百度的证书下载下来看看：

![format_png 11][]

可以看到百度是受信于`GlobalSign G2`，同样的`GlobalSign G2`是受信于`GlobalSign R1`，当客户端(浏览器)做证书校验时，会一级一级的向上做检查，直到最后的`根证书`，如果没有问题说明`服务器证书`是可以被信任的。

*  如何验证服务器证书
    
    那么客户端(浏览器)又是如何对`服务器证书`做校验的呢，首先会通过层级关系找到上级证书，通过上级证书里的`公钥`来对服务器的`证书指纹`进行解密得到`签名(sign1)`，再通过签名算法算出服务器证书的`签名(sign2)`，通过对比`sign1`和`sign2`，如果相等就说明证书是没有被`篡改`也不是`伪造`的。

![format_png 12][]

这里有趣的是，证书校验用的 RSA 是通过私钥加密证书签名，公钥解密来巧妙的验证证书有效性。

这样通过证书的认证体系，我们就可以避免了中间人窃取`AES_KEY`从而发起拦截和修改 HTTP 通讯的报文。

### 总结 ###

首先先通过对 HTTP 中间人攻击的来了解到 HTTP 为什么是不安全的，然后再从安全攻防的技术演变一直到 HTTPS 的原理概括，希望能让大家对 HTTPS 有个更深刻的了解。

![06db1ba5ea516dc14d91e9e942677c0e.gif][]

**推荐阅读：**

1、[SQL 优化极简法则][SQL]

[2][][、][2][项目中常用的19条MySQL优化][2]

3、[最新SQL数据库面试题以及答案！][SQL 1]

[4、][4][Redis的 8大数据类型，写得非常好！][Redis_ 8]

5、[面试官：来说说单点登录的三种实现方式][Link 1]

[6、][6][这5个能挣钱的 SpringBoot 项目，真TMD香！][5_ SpringBoot _TMD]

7、[单怼60道][60][多线程][60][面试题，你能答上几个?(附答案)][60]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NjYxMTcx_size_16_color_FFFFFF_t_70][]

[format_png]: /images/20221120/a9ae43bf6a4943eb9bf9ec9396eabf86.png
[format_png 1]: /images/20221120/3d2f8e1ba80d4490bc75e93f6dda86c1.png
[format_png 2]: /images/20221120/2ad24033355a46978ffd58c1c73bf2cb.png
[format_png 3]: /images/20221120/fcf3a10197d340ddbf93e28360505ecd.png
[format_png 4]: /images/20221120/e5f0d4a87e0643229235c533bbf1398b.png
[format_png 5]: /images/20221120/bb0abf02b89548c1ac132f91d20babe5.png
[format_png 6]: /images/20221120/bc4af6634abd474f941e9a588b6ff29d.png
[format_png 7]: /images/20221120/17bf6b689a6e4e768fb40fe487b85686.png
[format_png 8]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9RRnpSZHo5bGliRWI3V2ZxclE0aWFKa0VtR1BlN0I2QnlXR0NlTGpCQWRIOFg1aGdIQW54cTB5RmhEeVZ0SXl3TGFOdW9VeDhDMW9pYlRLMjVLenVLU1hJQS82NDA?x-oss-process=image/format,png
[format_png 9]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9RRnpSZHo5bGliRWI3V2ZxclE0aWFKa0VtR1BlN0I2QnlXTzRqRTFyMjY2UHlBQWVtaGN0TXpvVkh5dkI3NDd3WE1QaWNMZ1dEN2V2b0FBT1c1QWhjTkVCdy82NDA?x-oss-process=image/format,png
[format_png 10]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9RRnpSZHo5bGliRWI3V2ZxclE0aWFKa0VtR1BlN0I2QnlXdGZ1STR1WmxpYlJGNGliWlRIbWxBdjBxWWZpYTNBRGU1c1VXM1NuUGZiaWE2RXR6dXJZaWFsZU9WZ3cvNjQw?x-oss-process=image/format,png
[format_png 11]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9RRnpSZHo5bGliRWI3V2ZxclE0aWFKa0VtR1BlN0I2QnlXNzdxVDVJSmU3QlE5SnBQelg4V2RydE1aSVVNWjh5aWJRRjBraWJpY2xqSHJhRWFQWDNpY0Q3QzZsdy82NDA?x-oss-process=image/format,png
[format_png 12]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9RRnpSZHo5bGliRWI3V2ZxclE0aWFKa0VtR1BlN0I2QnlXNWdWWno1SndrRHJLOGJreUhpYWVNaWNQUGljeEFibGdjcGV3TmJaNUlsRWE3eFNYeUVhU3p0aWFjZy82NDA?x-oss-process=image/format,png
[06db1ba5ea516dc14d91e9e942677c0e.gif]: https://img-blog.csdnimg.cn/img_convert/06db1ba5ea516dc14d91e9e942677c0e.gif
[SQL]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247494475&idx=1&sn=7e646baf02607ca5bcdbbba811e5d1f1&chksm=fbc22587ccb5ac91516740577ab3387127c9b083285055c0fdbe7f54b4fbbcb9cd86ec1ec4dc&scene=21#wechat_redirect
[2]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247492315&idx=1&sn=37c6888e30892c7fae56d0769c35a571&chksm=fbc22c17ccb5a501df41ddeaecf0f7e85e292b45d6c7522e4d6a4d9c4a93a389338ee175eae8&scene=21#wechat_redirect
[SQL 1]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247493386&idx=1&sn=6014e7fb6c2a43ca8df3b011754fa4e1&chksm=fbc229c6ccb5a0d068fdce76d8e457510c9c43e866952a917ae63ee0f1da8c5c25bd5d3879a2&scene=21#wechat_redirect
[4]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247492363&idx=1&sn=6975a1a5de92dc49d04654f21ffa7c21&chksm=fbc22dc7ccb5a4d1b94f2a9bbce26082c9f845fbbf7d588a5540d072bcef39b2281d0b705f91&scene=21#wechat_redirect
[Redis_ 8]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247494511&idx=1&sn=bddc2a964cc7ecc77201f6fe19ac53ed&chksm=fbc225a3ccb5acb5d67e4ac6f7e5be3ab32de92a9521a08696020d01a324a3a016568ff6158f&scene=21#wechat_redirect
[Link 1]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247493492&idx=1&sn=cd0a9b65387d5107fe9d0e1ded268d22&chksm=fbc229b8ccb5a0ae5f433e40aeb031d462bc825b837ca9e09720b6b58439dada694eeb54bbaf&scene=21#wechat_redirect
[6]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247492809&idx=1&sn=47c50b227f8063129ed09edc91449100&chksm=fbc22a05ccb5a31383ee13bb6c58f8c12dada691c16624e028f23f24c32d1e4201b4ebd1a354&scene=21#wechat_redirect
[5_ SpringBoot _TMD]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247494522&idx=1&sn=98eb0cfc5d325f7f06582ad4cdf844cd&chksm=fbc225b6ccb5aca0a42bc26c5b7a9cecc3222a5e1e8517b243a8882c1baf2b24a9cfb449bfc8&scene=21#wechat_redirect
[60]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ==&mid=2247490459&idx=1&sn=66bc23ae41a8abcb9a6f00be754b2e47&chksm=fbc1d557ccb65c41ec5d3b7dedd6c7a22949ddcb5de1406de482c3b702a1a4768c66b730b219&scene=21#wechat_redirect
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NjYxMTcx_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20201202114309184.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1NjYxMTcx,size_16,color_FFFFFF,t_70