搜索

[21660] 2021-02-09_为什么HTTPS是安全的？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-02-09_为什么HTTPS是安全的？ 近 几 年 ， 互 联 网 发 生 着 翻 天 覆 地 的 变 化 ， 尤 其 是 我 们 一 直 习 以 为 常 的 H T T P   协 议 在 逐 渐 的 被   H T T P S   协 议 所 取 代 ， 那 么 ， 为 什 么 要 用 H T T P S ？ 因 为   H T T P   不 安 全 ！ 为 什 么 H T T P S 是 安 全 的 ？ L e m o n S e c   2 0 2 1 - 0 2 - 0 9 来 自 ： 掘 金 ， 作 者 ： 来 自 ： 掘 金 ， 作 者 ： M o n k e y W i e 链 接 ： 链 接 ： h t t p s : / / j u e j i n . i m / p o s t / 6 8 7 0 0 1 5 1 6 4 3 7 3 0 0 8 3 9 8 “ H T T P   协 议 协 议 在 谈 论   H T T P S   协 议 之 前 ， 先 来 回 顾 一 下   H T T P   协 议 的 概 念 。 H T T P   协 议 介 绍 协 议 介 绍 H T T P   协 议 是 一 种 基 于 文 本 的 传 输 协 议 ， 它 位 于   O S I   网 络 模 型 中 的 应 用 层 。 H T T P   协 议 是 通 过 客 户 端 和 服 务 器 的 请 求 应 答 来 进 行 通 讯 ， 目 前 协 议 由 之 前 的   R F C   2 6 1 6   拆 分 成 立 六 个 单 独 的 协 议 说 明 （ R F C   7 2 3 0 、 R F C   7 2 3 1 、 R F C   7 2 3 2 、 R F C   7 2 3 3 、 R F C   7 2 3 4 、 R F C   7 2 3 5 ） ， 通 讯 报 文 如 下 ： 请 求 ：
响 应 ： H T T P   中 间 人 攻 击 中 间 人 攻 击 H T T P   协 议 使 用 起 来 确 实 非 常 的 方 便 ， 但 是 它 存 在 一 个 致 命 的 缺 点 ： 不 安 全 。 我 们 知 道   H T T P   协 议 中 的 报 文 都 是 以 明 文 的 方 式 进 行 传 输 ， 不 做 任 何 加 密 ， 这 样 会 导 致 什 么 问 题 呢 ？ 下 面 来 举 个 例 子 ： ① ① 小 明 在   J a v a   贴 吧 发 帖 ， 内 容 为 我 爱   j a v a ： ② ② 被 中 间 人 进 行 攻 击 ， 内 容 修 改 为 我 爱   P H P ： P O S T   h t t p : / / w w w . b a i d u . c o m   H T T P / 1 . 1 H o s t :   w w w . b a i d u . c o m C o n n e c t i o n :   k e e p - a l i v e C o n t e n t - L e n g t h :   7 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 7 1 . 0 . 3 5 7 8 . 9 8   S a f a r i / 5 3 7 . 3 6 w d = H T T P H T T P / 1 . 1   2 0 0   O K C o n n e c t i o n :   K e e p - A l i v e C o n t e n t - E n c o d i n g :   g z i p C o n t e n t - T y p e :   t e x t / h t m l ; c h a r s e t = u t f - 8 D a t e :   T h u ,   1 4   F e b   2 0 1 9   0 7 : 2 3 : 4 9   G M T T r a n s f e r - E n c o d i n g :   c h u n k e d < h t m l > . . . < / h t m l >
③ ③ 小 明 被 群 嘲 （ 手 动 狗 头 ） 可 以 看 到 在   H T T P   传 输 过 程 中 ， 中 间 人 能 看 到 并 且 修 改   H T T P   通 讯 中 所 有 的 请 求 和 响 应 内 容 ， 所 以 使 用   H T T P   是 非 常 的 不 安 全 的 。 防 止 中 间 人 攻 击 防 止 中 间 人 攻 击 这 个 时 候 可 能 就 有 人 想 到 了 ， 既 然 内 容 是 明 文 那 我 使 用 对 称 加 密 的 方 式 将 报 文 加 密 这 样 中 间 人 不 就 看 不 到 明 文 了 吗 ， 于 是 如 下 改 造 ： ① ① 双 方 约 定 加 密 方 式 ， 如 下 图 ： ② ② 使 用   A E S   加 密 报 文 ， 如 下 图 ： 这 样 看 似 中 间 人 获 取 不 到 明 文 信 息 了 ， 但 其 实 在 通 讯 过 程 中 还 是 会 以 明 文 的 方 式 暴 露 加 密 方 式 和 秘 钥 ， 如 果 第 一 次 通 信 被 拦 截 到 了 ， 那 么 秘 钥 就 会 泄 露 给 中 间 人 ， 中 间 人 仍 然 可 以 解 密 后 续 的 通 信 ， 如 下 图 ：
那 么 对 于 这 种 情 况 ， 我 们 肯 定 就 会 考 虑 能 不 能 将 秘 钥 进 行 加 密 不 让 中 间 人 看 到 呢 ？ 答 案 是 有 的 ， 采 用 非 对 称 加 密 ， 我 们 可 以 通 过   R S A   算 法 来 实 现 。 在 约 定 加 密 方 式 的 时 候 由 服 务 器 生 成 一 对 公 私 钥 ， 服 务 器 将 公 钥 返 回 给 客 户 端 ， 客 户 端 本 地 生 成 一 串 秘 钥 （ A E S _ K E Y ） 用 于 对 称 加 密 ， 并 通 过 服 务 器 发 送 的 公 钥 进 行 加 密 得 到 （ A E S _ K E Y _ S E C R E T ） ， 之 后 返 回 给 服 务 端 。 服 务 端 通 过 私 钥 将 客 户 端 发 送 的   A E S _ K E Y _ S E C R E T   进 行 解 密 得 到   A E K _ K E Y ， 最 后 客 户 端 和 服 务 器 通 过 A E K _ K E Y   进 行 报 文 的 加 密 通 讯 。 改 造 如 下 图 ： 可 以 看 到 这 种 情 况 下 中 间 人 是 窃 取 不 到 用 于   A E S   加 密 的 秘 钥 ， 所 以 对 于 后 续 的 通 讯 是 肯 定 无 法 进 行 解 密 了 ， 那 么 这 样 做 就 是 绝 对 安 全 了 吗 ？ 所 谓 道 高 一 尺 魔 高 一 丈 ， 中 间 人 为 了 对 应 这 种 加 密 方 法 又 想 出 了 一 个 新 的 破 解 方 案 ， 既 然 拿 不 到   A E S _ K E Y ， 那 我 就 把 自 己 模 拟 成 一 个 客 户 端 和 服 务 器 端 的 结 合 体 。
在 用 户 → 中 间 人 的 过 程 中 中 间 人 模 拟 服 务 器 的 行 为 ， 这 样 可 以 拿 到 用 户 请 求 的 明 文 ， 在 中 间 人 → 服 务 器 的 过 程 中 中 间 人 模 拟 客 户 端 行 为 ， 这 样 可 以 拿 到 服 务 器 响 应 的 明 文 ， 以 此 来 进 行 中 间 人 攻 击 ： 这 一 次 通 信 再 次 被 中 间 人 截 获 ， 中 间 人 自 己 也 伪 造 了 一 对 公 私 钥 ， 并 将 公 钥 发 送 给 用 户 以 此 来 窃 取 客 户 端 生 成 的 A E S _ K E Y ， 在 拿 到   A E S _ K E Y   之 后 就 能 轻 松 的 进 行 解 密 了 。 中 间 人 这 样 为 所 欲 为 ， 就 没 有 办 法 制 裁 下 吗 ， 当 然 有 啊 ， 接 下 来 我 们 看 看   H T T P S   是 怎 么 解 决 通 讯 安 全 问 题 的 。 H T T P S   协 议 协 议 H T T P S   简 介 简 介 H T T P S   其 实 是   S S L + H T T P   的 简 称 ， 当 然 现 在   S S L   基 本 已 经 被   T L S   取 代 了 ， 不 过 接 下 来 我 们 还 是 统 一 以   S S L   作 为 简 称 。 S S L 协 议 其 实 不 止 是 应 用 在   H T T P   协 议 上 ， 还 在 应 用 在 各 种 应 用 层 协 议 上 ， 例 如 ： F T P 、 W e b S o c k e t 。 其 实   S S L   协 议 大 致 就 和 上 一 节 非 对 称 加 密 的 性 质 一 样 ， 握 手 的 过 程 中 主 要 也 是 为 了 交 换 秘 钥 ， 然 后 再 通 讯 过 程 中 使 用 对 称 加 密 进 行 通 讯 。 大 概 流 程 如 下 ：
这 里 我 只 是 画 了 个 示 意 图 ， 其 实 真 正 的   S S L   握 手 会 比 这 个 复 杂 的 多 ， 但 是 性 质 还 是 差 不 多 ， 而 且 我 们 这 里 需 要 关 注 的 重 点 在 于   H T T P S   是 如 何 防 止 中 间 人 攻 击 的 。 通 过 上 图 可 以 观 察 到 ， 服 务 器 是 通 过   S S L   证 书 来 传 递 公 钥 ， 客 户 端 会 对   S S L   证 书 进 行 验 证 ， 其 中 证 书 认 证 体 系 就 是 确 保   S S L   安 全 的 关 键 ， 接 下 来 我 们 就 来 讲 解 下   C A   认 证 体 系 ， 看 看 它 是 如 何 防 止 中 间 人 攻 击 的 。 C A   认 证 体 系 认 证 体 系 上 一 节 我 们 看 到 客 户 端 需 要 对 服 务 器 返 回 的   S S L   证 书 进 行 校 验 ， 那 么 客 户 端 是 如 何 校 验 服 务 器   S S L   证 书 的 安 全 性 呢 。 权 威 认 证 机 构 在   C A   认 证 体 系 中 ， 所 有 的 证 书 都 是 由 权 威 机 构 来 颁 发 ， 而 权 威 机 构 的   C A   证 书 都 是 已 经 在 操 作 系 统 中 内 置 的 ， 我 们 把 这 些 证 书 称 之 为 C A 根 证 书 ： 签 发 证 书 我 们 的 应 用 服 务 器 如 果 想 要 使 用   S S L   的 话 ， 需 要 通 过 权 威 认 证 机 构 来 签 发   C A   证 书 ， 我 们 将 服 务 器 生 成 的 公
钥 和 站 点 相 关 信 息 发 送 给   C A   签 发 机 构 ， 再 由   C A   签 发 机 构 通 过 服 务 器 发 送 的 相 关 信 息 用   C A   签 发 机 构 进 行 加 签 。 由 此 得 到 我 们 应 用 服 务 器 的 证 书 ， 证 书 会 对 应 的 生 成 证 书 内 容 的 签 名 ， 并 将 该 签 名 使 用   C A   签 发 机 构 的 私 钥 进 行 加 密 得 到 证 书 指 纹 ， 并 且 与 上 级 证 书 生 成 关 系 链 。 这 里 我 们 把 百 度 的 证 书 下 载 下 来 看 看 ：
可 以 看 到 百 度 是 受 信 于   G l o b a l S i g n   G 2 ， 同 样 的   G l o b a l S i g n   G 2   是 受 信 于   G l o b a l S i g n   R 1 。 当 客 户 端 （ 浏 览 器 ） 做 证 书 校 验 时 ， 会 一 级 一 级 的 向 上 做 检 查 ， 直 到 最 后 的 根 证 书 ， 如 果 没 有 问 题 说 明 服 务 器 证 书 是 可 以 被 信 任 的 。 如 何 验 证 服 务 器 证 书 那 么 客 户 端 （ 浏 览 器 ） 又 是 如 何 对 服 务 器 证 书 做 校 验 的 呢 ？ 首 先 会 通 过 层 级 关 系 找 到 上 级 证 书 ， 通 过 上 级 证 书 里 的 公 钥 来 对 服 务 器 的 证 书 指 纹 进 行 解 密 得 到 签 名 （ s i g n 1 ） ， 再 通 过 签 名 算 法 算 出 服 务 器 证 书 的 签 名 （ s i g n 2 ） 。 通 过 对 比   s i g n 1   和   s i g n 2 ， 如 果 相 等 就 说 明 证 书 是 没 有 被 篡 改 也 不 是 伪 造 的 。
这 里 有 趣 的 是 ， 证 书 校 验 用 的   R S A   是 通 过 私 钥 加 密 证 书 签 名 ， 公 钥 解 密 来 巧 妙 的 验 证 证 书 有 效 性 。 这 样 通 过 证 书 的 认 证 体 系 ， 我 们 就 可 以 避 免 了 中 间 人 窃 取   A E S _ K E Y   从 而 发 起 拦 截 和 修 改   H T T P   通 讯 的 报 文 。 总 结 总 结 首 先 先 通 过 对   H T T P   中 间 人 攻 击 的 来 了 解 到   H T T P   为 什 么 是 不 安 全 的 ， 然 后 再 从 安 全 攻 防 的 技 术 演 变 一 直 到   H T T P S 的 原 理 概 括 ， 希 望 能 让 大 家 对   H T T P S   有 个 更 深 刻 的 了 解 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理