Hi，大家好，我是编程小6，很荣幸遇见你，我把这些年在开发过程中遇到的问题或想法写出来，今天说一说独家揭秘：HTTPS如何使您的系统更具竞争力,希望能够帮助你!!!。

几个概念

1、文中的使用非对称加密对称密钥就是数字信封技术

2、https通讯全过程

TCP三次握手->建立SSL连接(验证双方证书身份、获取对称密钥)->建立https连接(使用对称密钥加密通讯)

3、https单向身份认证一般来说就是客户端验证服务器https证书是否是合法有效的。https双方身份认证就是客户端验证服务器身份，服务器也验证客户端的身份，一般在安全要求 比较高的双方接口对接时，验证双向的身份。

3.1、HTTPS单向身份认证

1）客户端向服务器发送https请求，基本包括SSL证书版本等信息给服务器端建立连接。

2）服务器端确认SSL证书版本、服务器公钥证书返回给客户端。

3）客户端校验服务器端证书是否合法(通过CA证书来验证服务器身份)。验证通过就继续下一步，验证不通过警告提示(如浏览器的警告提示)。一般CA证书的验证包括：证书信任链验证、证书有效期验证、证书是否吊销等。

4）客户端发送可支持的对称加密方案到服务器端供其选择。

5）服务器端将选择好的加密方案（算法）以明文方式发给客户端。

6）客户端收到采用的加密算法后，产生随机码作为对称加密的密钥。

7）客户端把对称密钥使用服务器端的公钥（非对称加密）加密后发送到服务器端。

8）服务器端使用私钥（非对称加密）解密后获得对称加密的密钥。

9）双方通过对称加密密钥(随机数)进行加密通讯。

3.2、HTTPS双向身份认证

1）客户端通过发送Client Hello报文开始SSL通信。报文中包含客户端支持的SSL的指定版本、加密组件列表、所使用的加密算法及密钥长度、随机数Random-A等。

2）服务器可进行SSL通信时，会以Server Hello报文作为应答。和客户端一样，在报文中包含SSL版本以及加密组件(客户端支持中筛选)、服务器生成的随机数Random-B、服务器公钥证书PublicKey-B。

3）客户端校验服务器端证书PublicKey-B是否合法(通过CA证书来验证服务器身份)。验证通过就继续下一步，验证不通过警告提示(如浏览器的警告提示)。一般CA证书的验证包括：证书信任链验证、证书有效期验证、证书是否吊销等。

4）客户端将自己的公钥证书PublicKey-A发送给服务器端，供服务器验证客户端身份。客户端事先也需申请相应的SSL证书。

5）服务器校验客户端证书PublicKey-A是否合法(通过CA证书来验证服务器身份)。验证通过就继续下一步，验证不通过警告提示(如浏览器的警告提示)。一般CA证书的验证包括：证书信任链验证、证书有效期验证、证书是否吊销等。

6）客户端发送可支持的对称加密方案到服务器端供其选择。

7）服务器端将选择好的加密方案（算法）发送给客户端，报文使用客户端公钥PublicKey-A进行非对称加密。

8）客户端使用自己的私钥PrivateKey-A解密报文，并通过Random-A、Random-B推算出Random-C，也就是对称加密的密钥。

9）客户端使用服务器公钥PublicKey-B非对称加密对称密钥Random-C，发送给服务器。

10）服务器使用自己的私钥PrivateKey-B解密报文，解决出对称密钥Random-C。

11）双方完成身份验证，并使用对称密钥Random-C进行加密通讯。

3.3、浏览器Https访问过程

以下是浏览器通过https访问百度服务器的具体实例：

3.5、使用了https就安全了吗？

3.5.1 https存在哪些漏洞或风险

虽然HTTPS是一种安全协议，并且可以提供端到端的加密和身份验证，但仍然存在以下几种漏洞：

1. 中间人攻击：中间人攻击是攻击者在客户端和服务器之间劫持通信并查看、修改或伪造数据。攻击者可能会通过欺骗用户来获取数字证书，或者通过其他技术手段破坏HTTPS的安全性。
2. SSL/TLS协议漏洞：SSL / TLS协议自身可能存在漏洞，例如 Heartbleed漏洞、POODLE漏洞等，这些漏洞可能导致攻击者能够绕过加密并访问敏感信息。
3. 不安全的密码学算法：使用不安全的密码学算法可能会破坏HTTPS的安全性。
4. 跨站脚本攻击（XSS）：攻击者可能会注入恶意脚本，这些脚本可以窃取敏感信息或修改网页内容。
5. 点击劫持攻击：攻击者可能欺骗用户通过透明的图层将用户点击重定向到其他网站，从而执行某些不良操作。
6. HTTP请求劫持（HTTP request hijacking）：攻击者可能会篡改或拦截HTTP请求，以访问目标系统并执行未经授权的操作。
7. 证书颁发机构（CA）漏洞：攻击者可能能够攻击CA并获得虚假的数字证书，从而欺骗用户并实施中间人攻击。

因此，要确保使用HTTPS通信的安全性，还需要采取其他安全措施，例如使用最新版本的TLS协议、使用双因素认证、实现安全编码实践等。同时，监测网络活动和应用程序的行为也非常重要，及时识别和处理安全事件。

3.5.2 什么是中间人攻击？

中间人攻击是一种网络攻击，攻击者可以在客户端和服务器之间劫持通信并查看、修改或伪造数据。在HTTPS中，如果攻击者成功地进行中间人攻击，则可以绕过加密保护，窃取敏感信息或篡改网页内容。

攻击者通常使用以下方法执行中间人攻击：

1. 拦截HTTPS请求：攻击者可以拦截用户的HTTPS请求，并将其重定向到自己的虚假网站。攻击者会在自己的网站上使用自签名证书来模拟目标网站的身份，从而欺骗用户。
2. 窃听HTTPS响应：攻击者可以监听目标服务器发出的HTTPS响应，并尝试解密它。攻击者可以通过激活成功教程SSL/TLS协议的漏洞或使用恶意证书来获取解密所需的密钥。
3. 中间人代理：攻击者可以设置一个中间人代理，将客户端的HTTPS请求转发给服务器，并将服务器的HTTPS响应转发给客户端。攻击者可以查看并修改所有经过代理的通信。

要防止中间人攻击，可以使用证书校验、公钥固定、证书透明度、HTTP Strict Transport Security（HSTS）等技术措施。其中最有效的方法是使用可靠的数字证书，以及确保浏览器和操作系统中内置了受信任的证书颁发机构的列表。

3.5.3 浏览器有风险警告，为什么还会产生中间人攻击？

浏览器在遇到不安全的证书时会出现警告，这是因为证书无法验证或者被攻击者伪造。但是，仍然存在一些情况下攻击者可能通过使用自签名或虚假的数字证书来欺骗用户从而执行中间人攻击。

例如，攻击者可以通过某些手段扰乱目标服务器和客户端之间的TLS握手过程，并向客户端发送自己伪造的数字证书，该证书声称属于目标网站的域名。此时，客户端会收到不可信的数字证书警告，但如果用户忽略了警告并继续访问网站，则可能受到中间人攻击。

因此，即使浏览器提示证书不安全，用户也应该谨慎对待并确保证书的真实性。最好的方式是使用已经被公认为可信的数字证书机构颁发的证书，或者确保自签名证书是由预期的主机颁发。 同时，使用其他安全措施如 HSTS、证书透明度等，可以增强对中间人攻击的防护。

今天的分享到此就结束了，感谢您的阅读，如果确实帮到您，您可以动动手指转发给其他人。