搜索

[18070] 2020-05-04_小学生也看懂的HTTPS原理剖析！

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-05-04_小学生也看懂的HTTPS原理剖析！ 小 学 生 也 看 懂 的 H T T P S 原 理 剖 析 ！ J a v a 程 序 员 社 区   H A C K 之 道   2 0 2 0 - 0 5 - 0 4 随 着   H T T P S   建 站 的 成 本 下 降 ， 现 在 大 部 分 的 网 站 都 已 经 开 始 用 上   H T T P S   协 议 。 大 家 都 知 道   H T T P S   比   H T T P   安 全 ， 也 听 说 过 与   H T T P S   协 议 相 关 的 概 念 有   S S L   、 非 对 称 加 密 、   C A   证 书 等 。 但 对 于 以 下 灵 魂 三 拷 问 可 能 就 答 不 上 了 ： 为 什 么 用 了 为 什 么 用 了   H T T P S   就 是 安 全 的 ？ 就 是 安 全 的 ？ H T T P S   的 底 层 原 理 如 何 实 现 ？ 的 底 层 原 理 如 何 实 现 ？ 用 了 用 了   H T T P S   就 一 定 安 全 吗 ？ 就 一 定 安 全 吗 ？ 本 文 将 层 层 深 入 ， 从 原 理 上 把   H T T P S   的 安 全 性 讲 透 。 H T T P S   的 实 现 原 理 大 家 可 能 都 听 说 过   H T T P S   协 议 之 所 以 是 安 全 的 是 因 为   H T T P S   协 议 会 对 传 输 的 数 据 进 行 加 密 ， 而 加 密 过 程 是 使 用 了 非 对 称 加 密 实 现 。 但 其 实 ， H T T P S   在 内 容 传 输 的 加 密 上 使 用 的 是 对 称 加 密 ， 非 对 称 加 密 只 作 用 在 证 书 验 证 阶 段 。 H T T P S   的 整 体 过 程 分 为 证 书 验 证 和 数 据 传 输 阶 段 ， 具 体 的 交 互 过 程 如 下 ：
证 书 验 证 阶 段 ： 浏 览 器 发 起   H T T P S   请 求 。 服 务 端 返 回   H T T P S   证 书 。 客 户 端 验 证 证 书 是 否 合 法 ， 如 果 不 合 法 则 提 示 告 警 。 数 据 传 输 阶 段 ： 当 证 书 验 证 合 法 后 ， 在 本 地 生 成 随 机 数 。 通 过 公 钥 加 密 随 机 数 ， 并 把 加 密 后 的 随 机 数 传 输 到 服 务 端 。 服 务 端 通 过 私 钥 对 随 机 数 进 行 解 密 。 服 务 端 通 过 客 户 端 传 入 的 随 机 数 构 造 对 称 加 密 算 法 ， 对 返 回 结 果 内 容 进 行 加 密 后 传 输 。 为 什 么 数 据 传 输 是 用 对 称 加 密 ？ 首 先 ， 非 对 称 加 密 的 加 解 密 效 率 是 非 常 低 的 ， 而   H T T P   的 应 用 场 景 中 通 常 端 与 端 之 间 存 在 大 量 的 交 互 ， 非 对 称 加 密 的 效
率 是 无 法 接 受 的 。 另 外 ， 在   H T T P S   的 场 景 中 只 有 服 务 端 保 存 了 私 钥 ， 一 对 公 私 钥 只 能 实 现 单 向 的 加 解 密 ， 所 以   H T T P S   中 内 容 传 输 加 密 采 取 的 是 对 称 加 密 ， 而 不 是 非 对 称 加 密 。 为 什 么 需 要   C A   认 证 机 构 颁 发 证 书 ？ H T T P   协 议 被 认 为 不 安 全 是 因 为 传 输 过 程 容 易 被 监 听 者 勾 线 监 听 、 伪 造 服 务 器 ， 而   H T T P S   协 议 主 要 解 决 的 便 是 网 络 传 输 的 安 全 性 问 题 。 首 先 我 们 假 设 不 存 在 认 证 机 构 ， 任 何 人 都 可 以 制 作 证 书 ， 这 带 来 的 安 全 风 险 便 是 经 典 的 “ 中 间 人 攻 击 ” 问 题 。 “ 中 间 人 攻 击 ” 的 具 体 过 程 如 下 ： 过 程 原 理 如 下 ： 本 地 请 求 被 劫 持 （ 如   D N S   劫 持 等 ） ， 所 有 请 求 均 发 送 到 中 间 人 的 服 务 器 。 中 间 人 服 务 器 返 回 中 间 人 自 己 的 证 书 。 客 户 端 创 建 随 机 数 ， 通 过 中 间 人 证 书 的 公 钥 对 随 机 数 加 密 后 传 送 给 中 间 人 ， 然 后 凭 随 机 数 构 造 对 称 加 密 对 传 输 内 容 进 行 加 密 传 输 。 中 间 人 因 为 拥 有 客 户 端 的 随 机 数 ， 可 以 通 过 对 称 加 密 算 法 进 行 内 容 解 密 。 中 间 人 以 客 户 端 的 请 求 内 容 再 向 正 规 网 站 发 起 请 求 。 因 为 中 间 人 与 服 务 器 的 通 信 过 程 是 合 法 的 ， 正 规 网 站 通 过 建 立 的 安 全 通 道 返 回 加 密 后 的 数 据 。
中 间 人 凭 借 与 正 规 网 站 建 立 的 对 称 加 密 算 法 对 内 容 进 行 解 密 。 中 间 人 通 过 与 客 户 端 建 立 的 对 称 加 密 算 法 对 正 规 内 容 返 回 的 数 据 进 行 加 密 传 输 。 客 户 端 通 过 与 中 间 人 建 立 的 对 称 加 密 算 法 对 返 回 结 果 数 据 进 行 解 密 。 由 于 缺 少 对 证 书 的 验 证 ， 所 以 客 户 端 虽 然 发 起 的 是   H T T P S   请 求 ， 但 客 户 端 完 全 不 知 道 自 己 的 网 络 已 被 拦 截 ， 传 输 内 容 被 中 间 人 全 部 窃 取 。 浏 览 器 是 如 何 确 保   C A   证 书 的 合 法 性 ？ ① 证 书 包 含 什 么 信 息 ？ ① 证 书 包 含 什 么 信 息 ？ 证 书 包 含 信 息 如 下 ： 颁 发 机 构 信 息 公 钥 公 司 信 息 域 名 有 效 期 指 纹 . . . . . . ② 证 书 的 合 法 性 依 据 是 什 么 ？ ② 证 书 的 合 法 性 依 据 是 什 么 ？ 首 先 ， 权 威 机 构 是 要 有 认 证 的 ， 不 是 随 便 一 个 机 构 都 有 资 格 颁 发 证 书 ， 不 然 也 不 叫 做 权 威 机 构 。 另 外 ， 证 书 的 可 信 性 基 于 信 任 制 ， 权 威 机 构 需 要 对 其 颁 发 的 证 书 进 行 信 用 背 书 ， 只 要 是 权 威 机 构 生 成 的 证 书 ， 我 们 就 认 为 是 合 法 的 。 所 以 权 威 机 构 会 对 申 请 者 的 信 息 进 行 审 核 ， 不 同 等 级 的 权 威 机 构 对 审 核 的 要 求 也 不 一 样 ， 于 是 证 书 也 分 为 免 费 的 、 便 宜 的 和 贵 的 。 ③ 浏 览 器 如 何 验 证 证 书 的 合 法 性 ？ ③ 浏 览 器 如 何 验 证 证 书 的 合 法 性 ？ 浏 览 器 发 起   H T T P S   请 求 时 ， 服 务 器 会 返 回 网 站 的   S S L   证 书 。 浏 览 器 需 要 对 证 书 做 以 下 验 证 ： 验 证 域 名 、 有 效 期 等 信 息 是 否 正 确 。 验 证 域 名 、 有 效 期 等 信 息 是 否 正 确 。 证 书 上 都 有 包 含 这 些 信 息 ， 比 较 容 易 完 成 验 证 。 判 断 证 书 来 源 是 否 合 法 。 判 断 证 书 来 源 是 否 合 法 。 每 份 签 发 证 书 都 可 以 根 据 验 证 链 查 找 到 对 应 的 根 证 书 ， 操 作 系 统 、 浏 览 器 会 在 本 地 存 储 权 威 机
构 的 根 证 书 ， 利 用 本 地 根 证 书 可 以 对 对 应 机 构 签 发 证 书 完 成 来 源 验 证 。 判 断 证 书 是 否 被 篡 改 。 判 断 证 书 是 否 被 篡 改 。 需 要 与   C A   服 务 器 进 行 校 验 。 判 断 证 书 是 否 已 吊 销 。 判 断 证 书 是 否 已 吊 销 。 通 过   C R L （ C e r t i f i c a t e   R e v o c a t i o n   L i s t   证 书 注 销 列 表 ） 和   O C S P （ O n l i n e   C e r t i f i c a t e   S t a t u s P r o t o c o l   在 线 证 书 状 态 协 议 ） 实 现 。 其 中   O C S P   可 用 于 第   3   步 中 以 减 少 与   C A   服 务 器 的 交 互 ， 提 高 验 证 效 率 。 以 上 任 意 一 步 都 满 足 的 情 况 下 浏 览 器 才 认 为 证 书 是 合 法 的 。 这 里 插 一 个 我 想 了 很 久 的 但 其 实 答 案 很 简 单 的 问 题 ： 这 里 插 一 个 我 想 了 很 久 的 但 其 实 答 案 很 简 单 的 问 题 ： 既 然 证 书 是 公 开 的 ， 如 果 要 发 起 中 间 人 攻 击 ， 我 在 官 网 上 下 载 一 份 证 书 作 为 我 的 服 务 器 证 书 ， 那 客 户 端 肯 定 会 认 同 这 个 证 书 是 合 法 的 ， 如 何 避 免 这 种 证 书 冒 用 的 情 况 ？ 其 实 这 就 是 非 加 密 对 称 中 公 私 钥 的 用 处 ， 虽 然 中 间 人 可 以 得 到 证 书 ， 但 私 钥 是 无 法 获 取 的 。 一 份 公 钥 是 不 可 能 推 算 出 其 对 应 的 私 钥 ， 中 间 人 即 使 拿 到 证 书 也 无 法 伪 装 成 合 法 服 务 端 ， 因 为 无 法 对 客 户 端 传 入 的 加 密 数 据 进 行 解 密 。 ④ 只 有 认 证 机 构 可 以 生 成 证 书 吗 ？ ④ 只 有 认 证 机 构 可 以 生 成 证 书 吗 ？ 如 果 需 要 浏 览 器 不 提 示 安 全 风 险 ， 那 只 能 使 用 认 证 机 构 签 发 的 证 书 。 但 浏 览 器 通 常 只 是 提 示 安 全 风 险 ， 并 不 限 制 网 站 不 能 访 问 ， 所 以 从 技 术 上 谁 都 可 以 生 成 证 书 ， 只 要 有 证 书 就 可 以 完 成 网 站 的   H T T P S   传 输 。 例 如 早 期 的   1 2 3 0 6   采 用 的 便 是 手 动 安 装 私 有 证 书 的 形 式 实 现   H T T P S   访 问 。
本 地 随 机 数 被 窃 取 怎 么 办 ？ 证 书 验 证 是 采 用 非 对 称 加 密 实 现 ， 但 是 传 输 过 程 是 采 用 对 称 加 密 ， 而 其 中 对 称 加 密 算 法 中 重 要 的 随 机 数 是 由 本 地 生 成 并 且 存 储 于 本 地 的 ， H T T P S   如 何 保 证 随 机 数 不 会 被 窃 取 ？ 其 实   H T T P S   并 不 包 含 对 随 机 数 的 安 全 保 证 ， H T T P S   保 证 的 只 是 传 输 过 程 安 全 ， 而 随 机 数 存 储 于 本 地 ， 本 地 的 安 全 属 于 另 一 安 全 范 畴 ， 应 对 的 措 施 有 安 装 杀 毒 软 件 、 反 木 马 、 浏 览 器 升 级 修 复 漏 洞 等 。 用 了   H T T P S   会 被 抓 包 吗 ？ H T T P S   的 数 据 是 加 密 的 ， 常 规 下 抓 包 工 具 代 理 请 求 后 抓 到 的 包 内 容 是 加 密 状 态 ， 无 法 直 接 查 看 。 但 是 ， 正 如 前 文 所 说 ， 浏 览 器 只 会 提 示 安 全 风 险 ， 如 果 用 户 授 权 仍 然 可 以 继 续 访 问 网 站 ， 完 成 请 求 。 因 此 ， 只 要 客 户 端 是 我 们 自 己 的 终 端 ， 我 们 授 权 的 情 况 下 ， 便 可 以 组 建 中 间 人 网 络 ， 而 抓 包 工 具 便 是 作 为 中 间 人 的 代 理 。 通 常   H T T P S   抓 包 工 具 的 使 用 方 法 是 会 生 成 一 个 证 书 ， 用 户 需 要 手 动 把 证 书 安 装 到 客 户 端 中 ， 然 后 终 端 发 起 的 所 有 请 求 通 过 该 证 书 完 成 与 抓 包 工 具 的 交 互 。 然 后 抓 包 工 具 再 转 发 请 求 到 服 务 器 ， 最 后 把 服 务 器 返 回 的 结 果 在 控 制 台 输 出 后 再 返 回 给 终 端 ， 从 而 完 成 整 个 请 求 的 闭 环 。 既 然   H T T P S   不 能 防 抓 包 ， 那   H T T P S   有 什 么 意 义 ？ H T T P S   可 以 防 止 用 户 在 不 知 情 的 情 况 下 通 信 链 路 被 监 听 ， 对 于 主 动 授 信 的 抓 包 操 作 是 不 提 供 防 护 的 ， 因 为 这 个 场 景 用 户 是 已 经 对 风 险 知 情 。 要 防 止 被 抓 包 ， 需 要 采 用 应 用 级 的 安 全 防 护 ， 例 如 采 用 私 有 的 对 称 加 密 ， 同 时 做 好 移 动 端 的 防 反 编 译 加 固 ， 防 止 本 地 算 法 被 破 解 。
总 结 以 下 用 简 短 的   Q & A   形 式 进 行 全 文 总 结 ： Q ： ： H T T P S   为 什 么 安 全 ？ 为 什 么 安 全 ？ A ： ： 因 为   H T T P S   保 证 了 传 输 安 全 ， 防 止 传 输 过 程 被 监 听 、 防 止 数 据 被 窃 取 ， 可 以 确 认 网 站 的 真 实 性 。 Q ： ： H T T P S   的 传 输 过 程 是 怎 样 的 ？ 的 传 输 过 程 是 怎 样 的 ？ A ： ： 客 户 端 发 起   H T T P S   请 求 ， 服 务 端 返 回 证 书 ， 客 户 端 对 证 书 进 行 验 证 ， 验 证 通 过 后 本 地 生 成 用 于 改 造 对 称 加 密 算 法 的 随 机 数 。 通 过 证 书 中 的 公 钥 对 随 机 数 进 行 加 密 传 输 到 服 务 端 ， 服 务 端 接 收 后 通 过 私 钥 解 密 得 到 随 机 数 ， 之 后 的 数 据 交 互 通 过 对 称 加 密 算 法 进 行 加 解 密 。 Q ： 为 什 么 需 要 证 书 ？ ： 为 什 么 需 要 证 书 ？ A ： ： 防 止 “ 中 间 人 ” 攻 击 ， 同 时 可 以 为 网 站 提 供 身 份 证 明 。 Q ： 使 用 ： 使 用   H T T P S   会 被 抓 包 吗 ？ 会 被 抓 包 吗 ？ A ： ： 会 被 抓 包 ， H T T P S   只 防 止 用 户 在 不 知 情 的 情 况 下 通 信 被 监 听 ， 如 果 用 户 主 动 授 信 ， 是 可 以 构 建 “ 中 间 人 ” 网 络 ， 代 理 软 件 可 以 对 传 输 内 容 进 行 解 密 。 顺 手 分 享 一 张 学 习   H T T P S   的 过 程 图 ：
出 处 ： h t t p s : / / b l o g . l e a p m i e . c o m / a r c h i v e s / 4 1 8 /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理