如何理解网站HTTPS-SSL协议安全


      Https是一个比较老套的话题,也是面试过程中经常被问到的问题。但是当被问到https为什么安全的时候,很多人的回答很简单:因为是加密的!然后就没有了!他相当于什么都不回答!我为什么要写这篇文章?网上的张文有的不全面或者不容易理解,有的甚至在理解上有偏差,可能会对学习者造成更多的疑惑;

在谈https之前,先说一下为什么http不安全,体现在哪里。如何论证?众所周知,http是明文传输的,但是很多人是这样想的:虽然是明文传输,但是我没遇到什么不安全的问题,不用搞https!我只能给出以下解释:你很幸运没有被盯上。你的网站流量不大,让你一文不值。你的账号密码等隐私信息被盗,但你还是不知道。接下来,我将向您展示为什么http不安全。所有人都已接入公共wifi。这里我用电脑打开一个热点,然后用手机连接到热点,再用手机访问一个http登录界面,输入账号密码登录。我用wireshark抓取我电脑上的数据包。第一步:电脑打开热点,打开wireshark准备劫持数据包。第二步:将手机连接到热点。第三步:手机访问登录页面,登录。第四步:检查电脑抓到的数据包。问题清楚了吗?你的账号密码是明文传输的(密码在前端md5后传输),中间的wifi(准确的说是路由器)可以直接截取查看。如果可以截取查看,是否可以篡改?答案当然是肯定的。现在想想,如果你连接的wifi甚至你的本地运营商有问题(为了利益),他能为所欲为吗?

例如:窃取你的私人信息。修改服务器返回的信息,添加一个js广告文件。这时,广告会满天飞。修改服务器返回的信息,直接重定向到钓鱼或广告网站。想想你是否遇到过类似的情况:你打开一个网站却自动跳转到其他“垃圾”网站。修改服务器返回的信息,你会发现电脑的角落里突然出现一张诱人的玩怪升级的游戏图片。说到这里,是否足以说明http本身确实存在安全问题?如果你的回答还是否定的,建议把上面的内容看几遍,给自己洗脑!

https为什么安全?他是怎么保证自己安全的?想到安全,就会先想到,再加密!所以第一个问题就产生了,怎么加密?在介绍如何加密之前,先简单介绍一下加密的一般类型。加密的一般类型:1.不可逆加密。例如MD5、SHA、HMAC。典型用途:密码不能以纯文本形式存储在数据库中,所以一般是加密存储的。如果用户的输入和同样的加密算法比较,就知道密码是否正确,不需要可逆。

可逆加密。对称加密。例如:AES、DES、3DES、IDEA、RC4、RC5、RC6。典型用途:用同一个密码加密和解密文件是很常见的。我加密文件并发送给你,但你只能用我的密码解锁。非对称加密(即公钥和私钥)。例子:RSA,DSA,ECC。典型用途:加密(确保数据安全)使用公钥加密和私钥解密。认证(用于身份判断)使用私钥签名,需要公钥验证签名。在介绍了加密的类型之后,我们来谈谈如何加密。不可逆加密可行吗?首先,不可逆加密可以直接排除。不知道为什么,可以想想自己的目的是什么。

对称加密可行吗?如果双方持有相同的密钥,并且没有其他人知道,则可以保证双方之间的通信安全。但最大的问题是如何让密钥为双方所知,不被他人所知。你想想:不管怎么传输,中间的密钥是否有可能被截取,其他的安全性是不是都不可能谈。似乎单纯的对称加密无法解决http的安全问题。

分享: