一、加密方式

HTTPS用到的加密方式有对称加密和非对称加密两种：

对称加密：只需要一个秘钥，加密和解密都是用该秘钥。
非对称加密：需要两把钥匙，一把公钥一把私钥，公钥对外暴露，私钥自己保存，公钥加密的信息只能用私钥解密，私钥加密的信息可以用公钥解密。

二、用非对称加密传递对称加密的秘钥

假设客服端向服务端请求连接：

客户端向服务端发送信息请求连接；
服务端向客服端发送自己的公钥；
客服端收到公钥，然后生成用于对称加密的秘钥A，使用收到的公钥对秘钥A进行加密，并将加密过的秘钥发给服务器；
服务器收到客户端发送的加密过的秘钥，使用自己的私钥进行解密，得到秘钥A；

此时客服端和服务端通过非对称加密进行传输得到了用于对称加密的秘钥。
注：为什么客户端和服务端不使用非对称加密进行信息传输？
因为非对称加密生成和加密的消耗时间比较长，为了节省双方的计算时间，通常只用它来传输对称加密的秘钥，然后使用对称加密进行通话。

三、中间人攻击

上述的加密方式看起来安全，但是有一种攻击方式其无法防范，即“中间人攻击”。下面采用一个例子讲述何为中间人攻击：
假设客服端向服务端请求连接，中间人小黑采用“中间人攻击”窃听通话：

客服端向服务端发送信息请求连接；
小黑截获该请求，伪装客服端向服务端发送请求连接；
服务端收到请求，向客户端发送自己的公钥；
小黑截获该公钥，伪装服务端向客户端发送自己伪造的公钥；
客户端收到小黑的公钥，生成对称加密的秘钥A，使用收到的公钥加密后发给服务端；
小黑截获加密的秘钥，使用自己私钥进行解密，得到秘钥A，使用服务端的公钥进行加密后伪装成客户端将其发给服务端；
服务端使用自己的私钥解密得到秘钥A；

后续客户端和服务端使用秘钥A，通过对称加密进行通话，但是此时小黑也拥有秘钥A，因此小黑可以窃听全部的通话内容。

四、CA校验

“中间人攻击”之所以能生效就是因为客户端无法确定自己收到的公钥是否是未被篡改过的服务端的公钥，因为引入了CA校验用于确保来自服务端的公钥不会被篡改。

CA 是一些非常权威的专门用于认证一个网站合法性的组织。服务端可以向他们申请一个证书，使得服务端与客户端在建立安全连接时可以带上 CA 的签名。 CA 的安全性由操作系统或浏览器来认证，浏览器会在安装时带上一个其认为安全的 CA 证书列表。如果和客户端建立安全连接的服务端带着这些CA组织的签名，那么认为这个安全连接是安全的，没有遭到中间人攻击。

CA颁发给网站的证书 = 公钥+申请者与颁发者信息+签名 （公钥即服务端的公钥）
签名 = 使用CA的私钥加密过的数字摘要
数字摘要 = 公钥的md5

证书在网站申请的时候便由CA生成，因为生成证书会用到CA私钥。
同时网站申请时，需要提供自己的公钥，因为正式描述信息里包含了网站的公钥。

HTTPS如何建立安全连接相关推荐

【Nginx】如何建立新连接
处理新连接事件的回调函数是ngx_event_accept,原型如下: void ngx_event_accept(ngx_event_t *ev) 具体流程如下: 1)首先调用accept方法试图建 ...
vc socket api建立TCP连接(包括域名解析)并收发数据的代码模板
VC和服务器建立TCP连接不像VB的winsock那样两三行代码就能搞定.虽然VC得MFC类库中也有CSocket.CAsyncSocket这样的类,但是这些类的毛病太多,还是返璞归真用socket ...
corefx 源码学习：SqlClient 是如何同步建立 Socket 连接的
在昨天的技术周会上发现 EnyimMemcached 中建立 Socket 连接的代码有问题,今天坐车的时候在手机上阅读 .net core 2.2 的 SqlClient 中同步建立 Socket ...
用apache commons-pool2建立thrift连接池
Apache Thrift 是 Facebook 实现的一种高效的.支持多种编程语言的远程服务调用的框架.具体的介绍可以看Apache的官方网站:http://thrift.apache.org/ . ...
使用selenium 驱动最新火狐浏览器出错：ConnectionAbortedError: [WinError 10053] 你的主机中的软件中止了一个已建立的连接。...
今天改selenium的脚本希望他兼容火狐浏览器,但是一直报一个错 ConnectionAbortedError: [WinError 10053] 你的主机中的软件中止了一个已建立的连接. sele ...
浏览器显示“您与此网站之间建立的连接不安全”的解决方案
现在很多网站打开的时候发现浏览器地址栏多了一个小的信息提示,点开看,谷歌的Chrome浏览器会提示"您与此网站之间建立的连接不安全",火狐的firefox浏览器会提示"您 ...
如何解决浏览器提示“您与此网站之间建立的连接不安全”
当您用360浏览器访问某些网站时,发现在这些网站上只要输入任何信息,360浏览器马上在网页顶端弹出一行警告:"该页面采用不加密的http传输协议,与你建立的连接不安全,请勿在页面内输入任何敏 ...
如何解决您与此网站之间建立的连接不安全，该页面采用不加密的http传输协议？
当您用360浏览器访问某些网站时,发现在这些网站上只要输入任何信息,360浏览器马上在网页顶端弹出一行警告:"该页面采用不加密的http传输协议,与你建立的连接不安全,请勿在页面内输入任何敏 ...
TP-LINK路由器与pfSense建立IPsec连接
同一品牌路由器之间进行IPsec连接设置较为简单,但如何与pfSense建立正确的IPsec连接,网上相关的教程却不多见,本文结合自己的实际,对这两种设备之间建立IPsec连接所需的设置进行详细说明. ...

HTTPS如何建立安全连接

文章目录

一、加密方式

二、用非对称加密传递对称加密的秘钥

三、中间人攻击

四、CA校验

HTTPS如何建立安全连接相关推荐

最新文章

热门文章