我终于搞清了啥是HTTPS了

　　在家百无聊赖的刷着网页，看到公众号后台的留言，有同学问我HTTP和HTTPS有啥区别？
　　这还用问，当然是HTTPS要比HTTP更加的安全啊，没看到后面带着个S呢么，带着S就这么NB。
　　然后同学的下一个问题把我问懵逼了，为啥带S的更安全呢？能详细的讲讲么。
　　我跟你讲嗷，不是我吹，我这么多年。。。。。。
　　就没见过你这么刨根究底的同学，老问这种我也不是很清楚的问题。
　　虽然这个问题问的我老脸一红，但是我有一种不要脸的精神我不会，但是我可以学。
　　HTTP
　　首先先来了解下HTTP：
　　HTTP协议全称为：HyperTextTransferProtocol，翻译过来就是超文本传输协议，请不要质疑这个翻译，我专门用百度翻译翻了一下。
　　TCPIP四层模型应该都知道的，有数据链路层，网络层，传输层和应用层：
　　而HTTP协议就是位于TCPIP四层模型的应用层上。
　　这里很多人都会混淆TCP和HTTP，实际上HTTP是基于TCP连接基础上的。
　　简单的说，TCP就是单纯建立连接，不涉及任何我们需要请求的实际数据，简单的传输。而HTTP是用来收发数据，即实际应用上来的。
　　HTTP协议通过请求和响应在客户端和服务端之间收发数据，进行通信：
　　HTTPS
　　HTTP协议看起来好像没啥问题，唯一的问题就是不够安全，因为HTTP协议的传输方式完全是由明文传输的，不做任何加密，这就让一些不怀好意的人有了可乘之机。
　　这种传输方式诱发了一种经典的攻击方式：中间人攻击。
　　对于这种情况，最简单的我们可以使用加密方案，比如使用AES加密，服务端和客户端先约定一个随机生成的密钥key，后续的通信中，所有的信息都使用这个密钥进行AES加密：
　　这样虽然后面的通信过程安全了，但是我们在第一发送AES密钥的时候还是存在被中间人拦截的风险，一旦中间人拦截到我们的密钥，可用对密钥进行更换或者直接解密请求内容：
　　这时我们可以使用不对称加密，来专门对密钥的传输做一次额外的保护。
　　不对称加密会有两个密钥，一个是公钥，一个是私钥。明文可以使用公钥加密私钥解密，也可以使用私钥加密公钥解密。
　　现在比较通用的非对称加密算法有RSA。
　　看到这里的同学一定在奇怪，既然都使用了不对称加密，为啥只对AES的密钥做不对称加密，好像有多此一举，完全可以对后续所有的通信信息全都使用不对称加密。
　　因为不对称加密相比较对称加密性能上存在明显的劣势，可能你觉得在一个请求中多消耗几ms或者几ns无所谓，但是请求到达服务端是要进行解密，每个请求都多消耗几ms累计起来还是非常可观的。
　　上面这个方案看起来已经很安全了，中间人即使拦截到我们的公钥，由于不知道我们的私钥貌似也没办法解密。
　　实际上中间人完全不需要解密我们的信息，他可以生成一对新的公私钥发送给客户端进行攻击，后续客户端的通信中间人使用自己创造的私钥进行解密，然后通过服务端生成的公钥进行加密返回给服务端：
　　CA证书
　　上面的问题我们仅通过客户端和服务端已经没办法了，这时候需要引入新的第三方机构，一个颁发CA证书的机构。
　　常见的第三方CA机构有：Symantec（赛门铁克），Comodo（科莫多），GeoTrust（环度网信），GoDaddy，Thawte，daoRapidSSL等等。
　　在中间人攻击中，我们遇到的问题不是加密算法不够神奇，不是密钥方式不够严谨，而是我们没有办法向我们的客户端表明我们给他的公钥是我们的，是不是很像我没办法证明我是我的问题。所以第三方机构应运而生，第三方机构只做一件事情，将服务端的公钥刻上了我们的名字（CA证书），客户端接收到公钥之后，只需要来第三方机构这里查询，就能知道这个公钥是不是真的服务器，然后再将自己生成的AES密钥使用CA证书中解密得到的公钥进行加密后发送给服务端。
　　最后服务端使用私钥解密得到AES密钥，就可以愉快的和客户端进行通信了。
　　最后的最后，CA机构验证不是每次都要去CA机构查询。这样做太傻了而且太耗时，尤其是很多CA机构的服务都在海外，这样一来一去消耗的时间太多了。
　　CA机构高明的地方就在于，我们去找它注册公钥，它会使用另一个来注册的公司的私钥对我们的公钥加密，得到一个我们的公钥的指纹（全球唯一），然后将这家公司的公钥信息（其实也是证书）和我们的公钥以及我们公钥的指纹打包成一个证书。
　　当我们使用HTTPS将证书下发给客户端校验时，客户端（比如浏览器）从证书中看到了上级证书的信息，恰巧这个证书就在浏览器（或者本机）中，已经被验证过是合法的，浏览器只要使用这个证书中的公钥将我们的公钥指纹进行解密，然后比对我们的公钥信息就知道我们也是的合法的。因为假证书中的公钥签名不可能被合法的上级证书中公钥解密。
　　这段稍微有点绕，慢慢看多看几次就理解了。
　　作者：极客挖掘机（cnblogs）

造句：我终于搞清了啥是了
造句：我终于搞清了啥是了