HTTP和HTTPS以及SSL四次握手

ゞ浴缸里的玫瑰 2023-05-28 06:44 8阅读 0赞

## HTTP协议 ##

HTTP协议是一种使用明文数据传输的网络协议。一直以来HTTP协议都是最主流的网页协议，但是互联网发展到今天，HTTP协议的明文传输会让用户存在一个非常大的安全隐患。试想一下，假如你在一个HTTP协议的网站上面购物，你需要在页面上输入你的银行卡号和密码，然后你把数据提交到服务器实现购买。假如这个适合，你的传输数据被第三者给截获了，由于HTTP明文数据传输的原因，你的银行卡号和密码，将会被这个截获人所得到。现在你还敢在一个HTTP的网站上面购物吗？你还会在一个HTTP的网站上面留下你的个人信息吗？

**HTTP1.0和HTTP1.1的一些区别**

1.  **Host头处理**，在HTTP1.0中认为每台服务器都绑定一个唯一的IP地址，因此，请求消息中的URL并没有传递主机名（hostname）。但随着虚拟主机技术的发展，在一台物理服务器上可以存在多个虚拟主机，并且它们共享一个IP地址。HTTP1.1的请求消息和响应消息都应支持Host头域，且请求消息中如果没有Host头域会报告一个错误（400 Bad Request）。
2.  **长连接**，HTTP 1.1支持长连接和请求的流水线处理，在一个TCP连接上可以传送多个HTTP请求和响应，减少了建立和关闭连接的消耗和延迟，在HTTP1.1中默认开启Connection： keep-alive，一定程度上弥补了HTTP1.0每次请求都要创建连接的缺点。
3.  **节约宽带**，HTTP1.0中，存在一些浪费带宽的现象，例如客户端只是需要某个对象的一部分，而服务器却将整个对象送过来了，并且不支持断点续传功能，HTTP1.1则在请求头引入了range头域，它允许只请求资源的某个部分，即返回码是206（Partial Content），这样就方便了开发者自由的选择以便于充分利用带宽和连接。
4.  **缓存处理**，在HTTP1.0中主要使用header里的If-Modified-Since,Expires来做为缓存判断的标准，HTTP1.1则引入了更多的缓存控制策略例如Entity tag，If-Unmodified-Since, If-Match, If-None-Match等更多可供选择的缓存头来控制缓存策略。
5.  **错误通知的管理**，在HTTP1.1中新增了24个错误状态响应码，如409（Conflict）表示请求的资源与资源的当前状态发生冲突；410（Gone）表示服务器上的某个资源被永久性的删除。

**HTTP1.1和HTTP2.0的一些区别**

1.  **多路复用**，HTTP2.0使用了多路复用的技术，做到同一个连接并发处理多个请求，而且并发请求的数量比HTTP1.1大了好几个数量级。HTTP1.1也可以多建立几个TCP连接，来支持处理更多并发的请求，但是创建TCP连接本身也是有开销的。
2.  **数据压缩**，HTTP1.1不支持header数据的压缩，HTTP2.0使用HPACK算法对header的数据进行压缩，这样数据体积小了，在网络上传输就会更快。
3.  **服务器推送**， 当我们对支持HTTP2.0的web server请求数据的时候，服务器会顺便把一些客户端需要的资源一起推送到客户端，免得客户端再次创建连接发送请求到服务器端获取。这种方式非常合适加载静态资源。

如下图：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzc1MTcxMA_size_16_color_FFFFFF_t_70]

## HTTPS协议 ##

HTTPS协议可以理解为HTTP协议的升级，就是在HTTP的基础上增加了数据加密。在数据进行传输之前，对数据进行加密，然后再发送到服务器。这样，就算数据被第三者所截获，但是由于数据是加密的，所以你的个人信息让然是安全的。这就是HTTP和HTTPS的最大区别。

## Http与Https的区别 ##

1.  https协议需要到CA （Certificate Authority，证书颁发机构）申请证书，一般免费证书较少，因而需要一定费用。(原来网易官网是http，而网易邮箱是https。)
2.  http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。
3.  http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。
4.  http的连接很简单，是无状态的。Https协议是由SSL+Http协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。(无状态的意思是其数据包的发送、传输和接收都是相互独立的。无连接的意思是指通信双方都不长久的维持对方的任何信息。)

## Https加密过程——SSL四次握手 ##

1.  客户端请求建立SSL链接。并向服务端发送一个**随机数**–**Client random**和**客户端支持的加密方法**，比如RSA公钥加密，此时是**明文传输**。还会传送客户端SSL 协议的版本号，以及其他服务器和客户端之间通讯所需要的各种信息。
2.  服务器收到客户端请求后，服务端回复**一种客户端支持的加密方法**、**一个随机数–Server random**、**授信的服务器证书**和**非对称加密的公钥（包含在证书中）**，还有SSL 协议的版本号以及其他相关信息。。
3.  客户端**验证服务器的合法性**，包括证书是否过期等等。开始与服务器建立会话密钥。客户端收到服务端的回复后利用**服务端的公钥**，加上**新的随机数–Premaster secret** ，**通过服务端下发的公钥及加密方法进行加密**，发送给服务器。
4.  如果服务器要求客户的身份认证，服务器必须检验客户证书和签名随机数的合法性，具体的合法性验证过程包括：客户的证书使用日期是否有效。
5.  验证通过后，Web服务器利用自己的私钥解密出会话密钥。服务端收到客户端的回复，利用**已知的加解密方式**进行解密，同时利用**Client random、Server random和Premaster secret**通过一定的算法生成HTTP链接数据传输的**对称加密key – session key**。返回给客户端，表示随后的信息都将用双方商定的加密方法和密钥发送，SSL握手结束。
6.  Web服务器利用会话密钥加密与客户端之间的通信。

## Https的缺点（对比优点） ##

1.  Https协议握手阶段比较费时：会使页面的加载时间延长近。
2.  Https连接缓存不如Http高效：会增加数据开销，甚至已有的安全措施也会因此而受到影响。
3.  Https协议的不是绝对的安全：在黑客攻击、拒绝服务攻击和服务器劫持等方面几乎起不到什么作用。
4.  SSL证书通常需要绑定IP，不能在同一IP上绑定多个域名，IPv4资源不可能支撑这个消耗。
5.  成本增加。部署 Https后，因为 Https协议的工作要增加额外的计算资源消耗，例如 SSL 协议加密算法和 SSL 交互次数将占用一定的计算资源和服务器成本。
6.  Https协议的加密范围也比较有限。最关键的，SSL证书的信用链体系并不安全，特别是在某些国家可以控制CA根证书的情况下，中间人攻击一样可行。

https://blog.csdn.net/qq\_38289815/article/details/80969419

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80Mzc1MTcxMA_size_16_color_FFFFFF_t_70]: /images/20230528/64345f509d1a4bc29e42c9d665692958.png