网络协议从入门到底层原理（8）HTTPS（成本、通信过程、TLS1.2的连接，配置服务器HTTPS）

﹏ヽ暗。殇╰゛Y 2023-01-11 03:58 188阅读 0赞

### HTTPS ###

*  SSL / TLS
 *  OpenSSL
 *  HTTPS的成本
 *  HTTPS的通信过程
 *  TLS 1.2 的连接（ECDHE密钥交换算法）
 *   *  ① Client Hello
     *  ② Server Hello
     *  ③ Certificate
     *  ④ Server Key Exchange
     *  ⑤ Server Hello Done
     *  ⑥ Client Key Exchange
     *  ⑦ Change Cipher Spec
     *  ⑧ Finished
     *  ⑨ Change Cipher Spec ⑩ Finished
 *  Wireshark 解密 HTTPS
 *  配置服务器HTTPS
 *   *  生成证书
     *  配置Tomcat

> [【网络协议从入门到底层原理】学习笔记汇总][Link 1]

**HTTPS (HyperText Transfer Protocol Secure)**，译为：**超文本传输安全协议**

*  常称为 **HTTP over TLS**、**HTTP over SSL**、**HTTP Secure**
 *  由网景公司于1994年首次提出  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70]  
    HTTPS的默认端口号是 **443** (HTTP是80)

现在在浏览器上输入 [http://www.baidu.com][http_www.baidu.com]

*  会自动重定向到 [https://www.baidu.com][https_www.baidu.com]

# SSL / TLS #

HTTPS 是在 HTTP 的基础上使用 SSL/TLS来 加密报文，对**窃听**和**中间人攻击**提供合理的防护  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 1]  
SSL/TLS 也可以用在其他协议上，比如

*  FTP → FTPS
 *  SMTP → SMTPS

--------------------

**TLS (Transport Layer Security)**，译为：**传输层安全性协议**

*  前身是 **SSL (Secure Sockets Layer)**，译为：**安全套接层**

历史版本信息

*  SSL 1.0：因存在严重的安全漏洞，从未公开过
 *  SSL 2.0：1995年，已于2011年弃用 ([RFC 6176][])
 *  SSL 3.0：1996年，已于2015年弃用 ([RFC 7568][])
 *  TLS 1.0：1999年 ([RFC 2246][])
 *  TLS 1.1：2006年 ([RFC 4346][])
 *  TLS 1.2：2008年 ([RFC 5246][])
 *  TLS 1.3：2018年 ([RFC 8446][])  
    小细节：TLS的RFC文档编号都是以46结尾

> SSL/TLS 工作在哪一层？  
> ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 2]

# OpenSSL #

[OpenSSL][] 是SSL/TLS协议的开源实现，始于1998年，支持Windows、Mac、Linux等平台

*  Linux、Mac 一般自带 OpenSSL
 *  Windows下载安装OpenSSL：[https://slproweb.com/products/Win32OpenSSL.html][https_slproweb.com_products_Win32OpenSSL.html]

常用命令

*  **生成私钥**：`openssl genrsa -out mj.key`
 *  **生成公钥**：`openssl rsa -in mj.key -pubout -out mj.pem`

可以使用 OpenSSL 构建一套属于自己的CA，自己给自己颁发证书，称为“自签名证书”

# HTTPS的成本 #

证书的费用

加解密计算

降低了访问速度

有些企业的做法是：包含敏感数据的请求才使用HTTPS，其他保持使用HTTP

*  [http://www.icbc.com.cn/][http_www.icbc.com.cn]
 *  [https://mybank.icbc.com.cn/][https_mybank.icbc.com.cn]

# HTTPS的通信过程 #

总的可以分为3大阶段

① TCP的3次握手  
② TLS的连接  
③ HTTP请求和响应  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 3]

# TLS 1.2 的连接（ECDHE密钥交换算法） #

> **wireshark 抓包**  
> `tcp port 443` 控制端口  
> ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 4]  
> `ip.addr == xxx.xxx.xxx.xxx`  
> ![在这里插入图片描述][20210126131513980.png]

TLS1.2 的连接大概有10大步骤:（图中省略了中间产生的一些ACK确认）  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 5]

## ① Client Hello ##

*  TLS的版本号
 *  支持的加密组件 (Cipher Suite) 列表  
    加密组件是指所使用的加密算法及密钥长度等
 *  一个随机数 (**Client** Random)  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 6]

## ② Server Hello ##

*  TLS的版本号
 *  选择的加密组件  
    是从接收到的客户端加密组件列表中挑选出来的
 *  一个随机数 (**Server** Random)  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 7]

## ③ Certificate ##

*  服务器的公钥证书（被CA签名过的）  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 8]

## ④ Server Key Exchange ##

*  用以实现ECDHE算法的其中一个参数 (**Server** Params)  
    ECDHE是一种**密钥交换算法**  
    为了防止伪造，Server Params 经过了服务器私钥签名  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 9]

## ⑤ Server Hello Done ##

*  告知客户端：协商部分结束  
    ![在这里插入图片描述][20210126132414299.png]

目前为止，客户端和服务器之间通过明文共享了

*  Client Random、Server Random、Server Params

而且，客户端也已经拿到了服务器的公钥证书，接下来，**客户端会验证证书的真实有效性**

## ⑥ Client Key Exchange ##

*  用以实现ECDHE算法的另一个参数 (**Client** Params)  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 10]

目前为止，客户端和服务器都拥有了ECDHE算法需要的2个参数：Server Params、Client Params

客户端、服务器都可以

*  使用ECDHE算法根据Server Params、Client Params计算出一个新的随机密钥串：**Pre-master secret**
 *  然后结合 Client Random、Server Random、**Pre-master secret** 生成一个**主密钥**
 *  最后利用主密钥衍生出其他密钥：客户端发送用的会话密钥、服务器发送用的会话密钥等

## ⑦ Change Cipher Spec ##

*  告知服务器：之后的通信会采用计算出来的会话密钥进行加密  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 11]

## ⑧ Finished ##

*  包含连接至今全部报文的整体校验值（摘要），加密之后发送给服务器
 *  这次握手协商是否成功，要以服务器是否能够正确解密该报文作为判定标准  
    ![在这里插入图片描述][20210126132927791.png]

## ⑨ Change Cipher Spec ⑩ Finished ##

*  到此为止，客户端服务器都验证加密解密没问题，握手正式结束
 *  后面开始传输加密的HTTP请求和响应  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 12]

# Wireshark 解密 HTTPS #

设置环境变量SSLKEYLOGFILE（浏览器会将key信息导出到这个文件）  
![在这里插入图片描述][20210126135656706.png]  
设置完成后，最好重启一下操作系统

在Wireshark中选择这个文件

*  编辑 → 首选项 → Protocols → TLS  
    ![在这里插入图片描述][20210126135723999.png]

> 如果环境变量不管用，可以直接设置浏览器的启动参数>![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 13]

# 配置服务器HTTPS #

## 生成证书 ##

> 一个生成免费证书的网站： [https://freessl.org/][https_freessl.org]

环境：Tomcat9.0.34、JDK1.8.0\_251

首先，使用JDK自带的 **keytool** 生成证书

*  `keytool -genkeypair -alias mj -keyalg RSA -keystore F:/mj.jks`  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_16_color_FFFFFF_t_70]

## 配置Tomcat ##

将证书 \***.jks** 文件放到 TOMCAT\_HOME/conf 目录下  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 14]

修改 TOMCAT\_HOME/conf/server.xml 中的 Connector  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 15]

[Link 1]: https://blog.csdn.net/weixin_43734095/article/details/112449428
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70]: /images/20221119/48535e131a1b4b7c8b5b4c0d24cd3b69.png
[http_www.baidu.com]: http://www.baidu.com
[https_www.baidu.com]: https://www.baidu.com
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20210126001610164.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[RFC 6176]: https://tools.ietf.org/html/rfc6176
[RFC 7568]: https://tools.ietf.org/html/rfc7568
[RFC 2246]: https://tools.ietf.org/html/rfc2246
[RFC 4346]: https://tools.ietf.org/html/rfc4346
[RFC 5246]: https://tools.ietf.org/html/rfc5246
[RFC 8446]: https://tools.ietf.org/html/rfc8446
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/2021012600195775.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[OpenSSL]: https://www.openssl.org/
[https_slproweb.com_products_Win32OpenSSL.html]: https://slproweb.com/products/Win32OpenSSL.html
[http_www.icbc.com.cn]: http://www.icbc.com.cn/
[https_mybank.icbc.com.cn]: https://mybank.icbc.com.cn/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20210126002533267.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20210126090658623.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[20210126131513980.png]: https://img-blog.csdnimg.cn/20210126131513980.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20210126131703928.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20210126131935928.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 7]: https://img-blog.csdnimg.cn/20210126132057800.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 8]: https://img-blog.csdnimg.cn/20210126132144939.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 9]: https://img-blog.csdnimg.cn/20210126132246654.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[20210126132414299.png]: https://img-blog.csdnimg.cn/20210126132414299.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 10]: https://img-blog.csdnimg.cn/20210126132525563.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 11]: https://img-blog.csdnimg.cn/2021012613282445.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[20210126132927791.png]: https://img-blog.csdnimg.cn/20210126132927791.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 12]: https://img-blog.csdnimg.cn/20210126133001890.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[20210126135656706.png]: https://img-blog.csdnimg.cn/20210126135656706.png
[20210126135723999.png]: https://img-blog.csdnimg.cn/20210126135723999.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 13]: https://img-blog.csdnimg.cn/20210126135752450.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[https_freessl.org]: https://freessl.org/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20210126135929616.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 14]: https://img-blog.csdnimg.cn/20210126140232208.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ_size_1_color_FFFFFF_t_70 15]: https://img-blog.csdnimg.cn/20210126140028236.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_1,color_FFFFFF,t_70