隨著 https 建站的成本下降，現在大部分的**都已經開始用上 https 協議。大家都知道 https 比 http 安全，也聽說過與 https 協議相關的概念有 ssl 、非對稱加密、 ca證書等，但對於以下靈魂三拷問可能就答不上了：
1、為什麼用了 https 就是安全的？
2、https 的底層原理如何實現？
3、用了 https 就一定安全嗎？
本文將層層深入，從原理上把 https 的安全性講透。
大家可能都聽說過 https 協議之所以是安全的是因為 https 協議會對傳輸的資料進行加密，而加密過程是使用了非對稱加密實現。但其實，https 在內容傳輸的加密上使用的是對稱加密，非對稱加密只作用在證書驗證階段
https的整體過程分為證書驗證和資料傳輸階段，具體的互動過程如下：
1、瀏覽器發起 https 請求
2、服務端返回 https 證書
3、客戶端驗證證書是否合法，如果不合法則提示告警
1、當證書驗證合法後，在本地生成隨機數
2、通過公鑰加密隨機數，並把加密後的隨機數傳輸到服務端
3、服務端通過私鑰對隨機數進行解密
4、服務端通過客戶端傳入的隨機數構造對稱加密演算法，對返回結果內容進行加密後傳輸
首先，非對稱加密的加解密效率是非常低的，而 http 的應用場景中通常端與端之間存在大量的互動，非對稱加密的效率是無法接受的；
另外，在 https 的場景中只有服務端儲存了私鑰，一對公私鑰只能實現單向的加解密，所以 https 中內容傳輸加密採取的是對稱加密，而不是非對稱加密。
http 協議被認為不安全是因為傳輸過程容易被監聽者勾線監聽、偽造伺服器，而 https 協議主要解決的便是網路傳輸的安全性問題。
首先我們假設不存在認證機構，任何人都可以製作證書，這帶來的安全風險便是經典的「中間人攻擊」問題。
由於缺少對證書的驗證，所以客戶端雖然發起的是 https 請求，但客戶端完全不知道自己的網路已被攔截，傳輸內容被中間人全部竊取。
證書包含什麼資訊？
頒發機構資訊
公鑰公司資訊
網域名稱有效期
指紋……
2. 證書的合法性依據是什麼？
首先，權威機構是要有認證的，不是隨便乙個機構都有資格頒發證書，不然也不叫做權威機構。另外，證書的可信性基於信任制，權威機構需要對其頒發的證書進行信用背書，只要是權威機構生成的證書，我們就認為是合法的。所以權威機構會對申請者的資訊進行審核，不同等級的權威機構對審核的要求也不一樣，於是證書也分為免費的、便宜的和貴的。
瀏覽器如何驗證證書的合法性？
1、驗證網域名稱、有效期等資訊是否正確。證書上都有包含這些資訊，比較容易完成驗證；
2、判斷證書**是否合法。每份簽發證書都可以根據驗證鏈查詢到對應的根證書，作業系統、瀏覽器會在本地儲存權威機構的根證書，利用本地根證書可以對對應機構簽發證書完成**驗證
以上任意一步都滿足的情況下瀏覽器才認為證書是合法的。
只有認證機構可以生成證書嗎？
如果需要瀏覽器不提示安全風險，那只能使用認證機構簽發的證書。但瀏覽器通常只是提示安全風險，並不限制**不能訪問，所以從技術上誰都可以生成證書，只要有證書就可以完成**的 https 傳輸。例如早期的 12306 採用的便是手動安裝私有證書的形式實現 https 訪問。
證書驗證是採用非對稱加密實現，但是傳輸過程是採用對稱加密，而其中對稱加密演算法中重要的隨機數是由本地生成並且儲存於本地的，https 如何保證隨機數不會被竊取？
其實 https 並不包含對隨機數的安全保證，https 保證的只是傳輸過程安全，而隨機數儲存於本地，本地的安全屬於另一安全範疇，應對的措施有安裝防毒軟體、反木馬、瀏覽器公升級修復漏洞等。
https 的資料是加密的，常規下抓包工具**請求後抓到的包內容是加密狀態，無法直接檢視。
https 可以防止使用者在不知情的情況下通訊鏈路被監聽，對於主動授信的抓包操作是不提供防護的，因為這個場景使用者是已經對風險知情。要防止被抓包，需要採用應用級的安全防護，例如採用私有的對稱加密，同時做好移動端的防反編譯加固，防止本地演算法被破解。
以下用簡短的q&a形式進行全文總結：
q: https 為什麼安全？
a: 因為 https 保證了傳輸安全，防止傳輸過程被監聽、防止資料被竊取，可以確認**的真實性。
q: https 的傳輸過程是怎樣的？
a: 客戶端發起 https 請求，服務端返回證書，客戶端對證書進行驗證，驗證通過後本地生成用於改造對稱加密演算法的隨機數，通過證書中的公鑰對隨機數進行加密傳輸到服務端，服務端接收後通過私鑰解密得到隨機數，之後的資料互動通過對稱加密演算法進行加解密。
q: 為什麼需要證書？
a: 防止」中間人「攻擊，同時可以為**提供身份證明。
q: 使用 https 會被抓包嗎？
a: 會被抓包，https 只防止使用者在不知情的情況下通訊被監聽，如果使用者主動授信，是可以構建「中間人」網路，**軟體可以對傳輸內容進行解密。
Https中間人攻擊
https也不是絕對安全的，如下圖所示為中間人劫持攻擊，中間人可以獲取到客戶端與伺服器之間所有的通訊內容。中間人擷取客戶端傳送給伺服器的請求，然後偽裝成客戶端與伺服器進行通訊 將伺服器返回給客戶端的內容傳送給客戶端，偽裝成伺服器與客戶端進行通訊。通過這樣的手段，便可以獲取客戶端和伺服器之間通訊的所有...
Https中間人攻擊
防範方法 一 https連線過程及中間人攻擊原理 https協議就是http ssl協議，如下圖所示為其連線過程 1.https請求 客戶端向服務端傳送https請求 2.生成公鑰和私鑰 服務端收到請求之後，生成公鑰和私鑰。公鑰相當於是鎖，私鑰相當於是鑰匙，只有私鑰才能夠開啟公鑰鎖住的內容 3.返回...
Https協議 「中間人攻擊」原理概述
引導問題 1.為什麼使用https是安全的？2.https的底層原理如何實現？3.使用https是絕對安全的嗎？https實現原理 https協議在內容傳輸上使用的加密是 對稱加密 而 非對稱加密 只作用於證書驗證階段。https的整體實現過程分為 證書驗證 和 資料傳輸 兩個階段，過程如下所示 證...