《图解HTTP》笔记4确保Web安全的HTTPS

         在HTTP协议中有可能存在信息窃听或身份伪装等安全问题。使用HTTPS通信机制可以有效地防止这些问题。

HTTP的缺点

• 通信使用明文(不加密)，内容可能会被窃听

• 不验证通信方的身份，因此有可能遭遇伪装

• 无法证明报文的完整性，所以有可能已遭篡改

HTTP+加密+认证+完整性保护=HTTPS

       HTTPS并非是应用层的一种新协议。只是HTTP通信接口部分用SSL(Secure Socket Layer)和TLS(Transport Layer Security)协议代替而已。HTTPS其实就是身披SSL协议这层外壳的HTTP。

HTTPS的安全通信机制

        为了更好地理解HTTPS，我们来观察一下HTTPS的通信步骤。

        步骤1：客户端通过发送Client Hello报文开始SSL通信。报文中包含客户端支持的SSL的指定版本、加密组件列表。

        步骤2：服务器可进行SSL通信时，会以Server Hello报文作为应答。和客户端一样，在报文中包含SSL版本以及加密组件。服务器的加密组件内容是从接收到的客户端加密组件内筛选出来的。

        步骤3：之后服务器发送Certificate报文。报文中包含公共秘钥证书。

        步骤4：最后服务器发送Server Hello Done报文通知客户端，最初阶段的SSL握手协商部分结束。

        步骤5：SSL第一次握手结束之后，客户端以Client Key Exchange报文作为回应。报文中包含通信加密中使用的一种被称为Pre-master secret的随机密码串。该报文已用步骤3中的公开秘钥进行加密。

        步骤6：接着客户端继续发送Change Cipher Spec报文。该报文会提示服务器，在此报文之后的通信会采用Pre-master secret秘钥加密。

        步骤7：客户端发送Finished报文。该报文包含连接至今全部报文的整体校验值。这次握手协商是否能够成功，要以服务器是否能够正确解密该报文作为判断标准。

        步骤8：服务器同样发送Change Cipher Spec报文。

        步骤9：服务器同样发送Finished报文。

        步骤10：服务器和客户端的Finished报文交换完毕之后，SSL连接就算建立完成。当然，通信会受到SSL的保护。从此处开始进行应用层协议的通信，即发送HTTP请求。

        步骤11：应用层协议通信，即发送HTTP响应。

        步骤12：最后由客户端断开连接。断开连接时，发送close_notify报文。上图做了一些省略，这步之后再发送TCP FIN报文来关闭与TCP的通信。

        在以上流程中，应用层发送数据时会附加一种叫做MAC(Message Authentication Code)的报文摘要。MAC能够查知报文是否遭到篡改，从而保护报文的完整性。

        下图是对整个流程的图解。图中说明了从仅使用服务器端的公开秘钥证书(服务器证书)建立HTTPS通信的整个过程。

《图解HTTP》的另外3篇笔记如下：

1. 《图解HTTP》笔记1简单的HTTP协议
2. 《图解HTTP》笔记2HTTP报文内的HTTP信息
   
3. 《图解HTTP》笔记3HTTP首部