HTTPS用的是對稱加密還是非對稱加密

要回答這個問題，顯然需要再梳理一下https的技術原理了，本文將帶你了解https到底用的是對稱加密還是非對稱加密，以及具體又是怎麼使用的。

隨著 https 建站的成本下降，現在大部分的**都已經開始用上 https 協議。大家都知道 https 比 http 安全，也聽說過與 https 協議相關的概念有 ssl 、非對稱加密、 ca證書等。

但對於以下靈魂三拷問可能就答不上了：

不用擔心，本文將在解答「https到底用的是對稱加密還是非對稱加密？」的同時層層深入，從原理上把 https 的安全性講透，您也將同時理解上述問題。

大家可能都聽說過 https 協議之所以是安全的是因為 https 協議會對傳輸的資料進行加密，而加密過程是使用了非對稱加密實現。但其實：https 在內容傳輸的加密上使用的是對稱加密，非對稱加密只作用在證書驗證階段。

https的整體過程分為證書驗證和資料傳輸階段，具體的互動過程如下： 

① 證書驗證階段：

1）瀏覽器發起 https 請求；

2）服務端返回 https 證書；

3）客戶端驗證證書是否合法，如果不合法則提示告警。

1）當證書驗證合法後，在本地生成隨機數；

2）通過公鑰加密隨機數，並把加密後的隨機數傳輸到服務端；

3）服務端通過私鑰對隨機數進行解密；

4）服務端通過客戶端傳入的隨機數構造對稱加密演算法，對返回結果內容進行加密後傳輸。

另外：在 https 的場景中只有服務端儲存了私鑰，一對公私鑰只能實現單向的加解密，所以 https 中內容傳輸加密採取的是對稱加密，而不是非對稱加密。

http 協議被認為不安全是因為傳輸過程容易被監聽者勾線監聽、偽造伺服器，而 https 協議主要解決的便是網路傳輸的安全性問題。

首先我們假設不存在認證機構，任何人都可以製作證書，這帶來的安全風險便是經典的「中間人攻擊」問題。

「中間人攻擊」的具體過程如下： 

如上圖所以，過程原理如下：

由於缺少對證書的驗證，所以客戶端雖然發起的是 https 請求，但客戶端完全不知道自己的網路已被攔截，傳輸內容被中間人全部竊取。

所以權威機構會對申請者的資訊進行審核，不同等級的權威機構對審核的要求也不一樣，於是證書也分為免費的、便宜的和貴的。

1）驗證網域名稱、有效期等資訊是否正確：證書上都有包含這些資訊，比較容易完成驗證；

3）判斷證書是否被篡改：需要與 ca 伺服器進行校驗；

以上任意一步都滿足的情況下瀏覽器才認為證書是合法的。

這裡插乙個我想了很久的但其實答案很簡單的問題：

其實這就是非加密對稱中公私鑰的用處，雖然中間人可以得到證書，但私鑰是無法獲取的，乙份公鑰是不可能推算出其對應的私鑰，中間人即使拿到證書也無法偽裝成合法服務端，因為無法對客戶端傳入的加密資料進行解密。

如果需要瀏覽器不提示安全風險，那只能使用認證機構簽發的證書。但瀏覽器通常只是提示安全風險，並不限制**不能訪問，所以從技術上誰都可以生成證書，只要有證書就可以完成**的 https 傳輸。

例如早期的 12306 採用的便是手動安裝私有證書的形式實現 https 訪問： 

證書驗證是採用非對稱加密實現，但是傳輸過程是採用對稱加密，而其中對稱加密演算法中重要的隨機數是由本地生成並且儲存於本地的，https 如何保證隨機數不會被竊取？

其實 https 並不包含對隨機數的安全保證，https 保證的只是傳輸過程安全，而隨機數儲存於本地，本地的安全屬於另一安全範疇，應對的措施有安裝防毒軟體、反木馬、瀏覽器公升級修復漏洞等。

https 的資料是加密的，常規下抓包工具**請求後抓到的包內容是加密狀態，無法直接檢視。

但是，正如前文所說，瀏覽器只會提示安全風險，如果使用者授權仍然可以繼續訪問**，完成請求。因此，只要客戶端是我們自己的終端，我們授權的情況下，便可以組建中間人網路，而抓包工具便是作為中間人的**。通常 https 抓包工具的使用方法是會生成乙個證書，使用者需要手動把證書安裝到客戶端中，然後終端發起的所有請求通過該證書完成與抓包工具的互動，然後抓包工具再**請求到伺服器，最後把伺服器返回的結果在控制台輸出後再返回給終端，從而完成整個請求的閉環。

既然 https 不能防抓包，那 https 有什麼意義？

https 可以防止使用者在不知情的情況下通訊鏈路被監聽，對於主動授信的抓包操作是不提供防護的，因為這個場景使用者是已經對風險知情。要防止被抓包，需要採用應用級的安全防護，例如採用私有的對稱加密，同時做好移動端的防反編譯加固，防止本地演算法被破解。

q: https 為什麼安全？

a: 因為 https 保證了傳輸安全，防止傳輸過程被監聽、防止資料被竊取，可以確認**的真實性。

q: https 的傳輸過程是怎樣的？

a: 客戶端發起 https 請求，服務端返回證書，客戶端對證書進行驗證，驗證通過後本地生成用於改造對稱加密演算法的隨機數，通過證書中的公鑰對隨機數進行加密傳輸到服務端，服務端接收後通過私鑰解密得到隨機數，之後的資料互動通過對稱加密演算法進行加解密。

q: 為什麼需要證書？

a: 防止」中間人「攻擊，同時可以為**提供身份證明。

q: 使用 https 會被抓包嗎？

a: 會被抓包，https 只防止使用者在不知情的情況下通訊被監聽，如果使用者主動授信，是可以構建「中間人」網路，**軟體可以對傳輸內容進行解密。

好了，回歸到本文標的問題，我們來總結回顧一下。

q: https用的是對稱加密還是非對稱加密？

q: https 在內容傳輸的加密上使用的是對稱加密，非對稱加密只作用在證書驗證階段。（本文同步發布於： 

https到底是對稱加密還是非對稱加密？

之前面試的時候有被人問到過 https使用的是對稱加密還是非對稱加密？如果對https不是很了解，隨便猜乙個，那麼恭喜你，你已經入了面試官的坑了，不管你回答對稱加密還是非對稱加密都不對，正確的答案是對稱加密 非對稱加密。對稱加密 加密的金鑰和解密的金鑰是一樣的。非對稱加密 加密的金鑰和解密的金鑰不一...

HTTPS中的對稱金鑰加密，公開金鑰加密，數字證書

我們將未加密的內容稱為明文，加密之後的內容稱為密文。簡單來說，要加密一段明文，可以將這段內容輸入到乙個加密函式中，輸出密文。但這種簡單的加密方式存在被人盜取到加密函式從而破解明文的危險，且加密函式一般構成複雜，一旦被盜取更換成本較高。於是人們想出了乙個辦法，在加密函式中再新增乙個引數，這個引數只有通...

https處理的乙個過程，對稱加密和非對稱加密

一，對稱加密 所謂對稱加密，就是它們在編碼時使用的金鑰e和解碼時一樣d e d 我們就將其統稱為金鑰k。對稱加解密的過程如下 傳送端和接收端首先要共享相同的金鑰k 即通訊前雙方都需要知道對應的金鑰 才能進行通訊。傳送端用共享金鑰k對明文p進行加密，得到密文c，並將得到的密文傳送給接收端，接收端收到密...