隨著 https 建站的成本下降，現在大部分的**都已經開始用上 https 協議。大家都知道 https 比 http 安全，也聽說過與 https 協議相關的概念有 ssl 、非對稱加密、 ca證書等，但對於以下靈魂三拷問可能就答不上了：
1.為什麼用了 https 就是安全的？
2.https 的底層原理如何實現？
3.用了 https 就一定安全嗎？
本文將層層深入，從原理上把 https 的安全性講透。
大家可能都聽說過 https 協議之所以是安全的是因為 https 協議會對傳輸的資料進行加密，而加密過程是使用了非對稱加密實現。但其實，https 在內容傳輸的加密上使用的是對稱加密，非對稱加密只作用在證書驗證階段。
https的整體過程分為證書驗證和資料傳輸階段，具體的互動過程如下：
① 證書驗證階段
瀏覽器發起 https 請求
服務端返回 https 證書
客戶端驗證證書是否合法，如果不合法則提示告警
② 資料傳輸階段
1.當證書驗證合法後，在本地生成隨機數
2.通過公鑰加密隨機數，並把加密後的隨機數傳輸到服務端
3.服務端通過私鑰對隨機數進行解密
4.服務端通過客戶端傳入的隨機數構造對稱加密演算法，對返回結果內容進行加密後傳輸
首先，非對稱加密的加解密效率是非常低的，而 http 的應用場景中通常端與端之間存在大量的互動，非對稱加密的效率是無法接受的；
另外，在 https 的場景中只有服務端儲存了私鑰，一對公私鑰只能實現單向的加解密，所以 https 中內容傳輸加密採取的是對稱加密，而不是非對稱加密。
http 協議被認為不安全是因為傳輸過程容易被監聽者勾線監聽、偽造伺服器，而 https 協議主要解決的便是網路傳輸的安全性問題。
首先我們假設不存在認證機構，任何人都可以製作證書，這帶來的安全風險便是經典的「中間人攻擊」問題。
「中間人攻擊」的具體過程如下：
過程原理：
1.本地請求被劫持（如dns劫持等），所有請求均傳送到中間人的伺服器
2.中間人伺服器返回中間人自己的證書
3.客戶端建立隨機數，通過中間人證書的公鑰對隨機數加密後傳送給中間人，然後憑隨機數構造對稱加密對傳輸內容進行加密傳輸
4.中間人因為擁有客戶端的隨機數，可以通過對稱加密演算法進行內容解密
5.中間人以客戶端的請求內容再向正規**發起請求
6.因為中間人與伺服器的通訊過程是合法的，正規**通過建立的安全通道返回加密後的資料
7.中間人憑藉與正規**建立的對稱加密演算法對內容進行解密
8.中間人通過與客戶端建立的對稱加密演算法對正規內容返回的資料進行加密傳輸
9.客戶端通過與中間人建立的對稱加密演算法對返回結果資料進行解密
由於缺少對證書的驗證，所以客戶端雖然發起的是 https 請求，但客戶端完全不知道自己的網路已被攔截，傳輸內容被中間人全部竊取。
1. 證書包含什麼資訊？
2. 證書的合法性依據是什麼？
首先，權威機構是要有認證的，不是隨便乙個機構都有資格頒發證書，不然也不叫做權威機構。另外，證書的可信性基於信任制，權威機構需要對其頒發的證書進行信用背書，只要是權威機構生成的證書，我們就認為是合法的。所以權威機構會對申請者的資訊進行審核，不同等級的權威機構對審核的要求也不一樣，於是證書也分為免費的、便宜的和貴的。
3. 瀏覽器如何驗證證書的合法性？
1.驗證網域名稱、有效期等資訊是否正確。證書上都有包含這些資訊，比較容易完成驗證；
2.判斷證書**是否合法。每份簽發證書都可以根據驗證鏈查詢到對應的根證書，作業系統、瀏覽器會在本地儲存權威機構的根證書，利用本地根證書可以對對應機構簽發證書完成**驗證；
3.判斷證書是否被篡改。需要與 ca 伺服器進行校驗；
以上任意一步都滿足的情況下瀏覽器才認為證書是合法的。
4. 只有認證機構可以生成證書嗎？
如果需要瀏覽器不提示安全風險，那只能使用認證機構簽發的證書。但瀏覽器通常只是提示安全風險，並不限制**不能訪問，所以從技術上誰都可以生成證書，只要有證書就可以完成**的 https 傳輸。例如早期的 12306 採用的便是手動安裝私有證書的形式實現 https 訪問。
證書驗證是採用非對稱加密實現，但是傳輸過程是採用對稱加密，而其中對稱加密演算法中重要的隨機數是由本地生成並且儲存於本地的，https 如何保證隨機數不會被竊取？
其實 https 並不包含對隨機數的安全保證，https 保證的只是傳輸過程安全，而隨機數儲存於本地，本地的安全屬於另一安全範疇，應對的措施有安裝防毒軟體、反木馬、瀏覽器公升級修復漏洞等。
https 的資料是加密的，常規下抓包工具**請求後抓到的包內容是加密狀態，無法直接檢視。
但是，正如前文所說，瀏覽器只會提示安全風險，如果使用者授權仍然可以繼續訪問**，完成請求。因此，只要客戶端是我們自己的終端，我們授權的情況下，便可以組建中間人網路，而抓包工具便是作為中間人的**。通常 https 抓包工具的使用方法是會生成乙個證書，使用者需要手動把證書安裝到客戶端中，然後終端發起的所有請求通過該證書完成與抓包工具的互動，然後抓包工具再**請求到伺服器，最後把伺服器返回的結果在控制台輸出後再返回給終端，從而完成整個請求的閉環。
既然 https 不能防抓包，那 https 有什麼意義？
a: 客戶端發起 https 請求，服務端返回證書，客戶端對證書進行驗證，驗證通過後本地生成用於改造對稱加密演算法的隨機數，通過證書中的公鑰對隨機數進行加密傳輸到服務端，服務端接收後通過私鑰解密得到隨機數，之後的資料互動通過對稱加密演算法進行加解密。
q: 為什麼需要證書？
a: 防止」中間人「攻擊，同時可以為**提供身份證明。
q: 使用 https 會被抓包嗎？
a: 會被抓包，https 只防止使用者在不知情的情況下通訊被監聽，如果使用者主動授信，是可以構建「中間人」網路，**軟體可以對傳輸內容進行解密。
一文看懂HTTPS的實現原理
在此之前，我們先來總結一下在http協議中會存在的一些問題。由於http協議本身是不具備加密功能的，所以也無法做到對通訊整體 使用http協議通訊的請求和響應的內容 進行加密。也就是說http報文使用明文 指未經過加密的報文 的方式傳送。http明文協議的缺陷是導致資料洩密 資料篡改 流量劫持 釣魚...
一文解讀融資方式
總體可以一張圖來區分這幾種資金方和融資方式。天使投資 ai 天使投資所投的專案都是正處於非常早期階段的專案，可沒有完整的產品和商業機會，僅僅還只是乙個概念。天使投資是風投的一種，一般會在a輪之後退出 風險投資 vc 風險投資所投的專案都是正處於中早期階段的專案，專案的經營模式相對成熟，已經獲得市場的...
一文搞懂HTTP和HTTPS協議
1.什麼是協議？網路協議是計算機之間為了實現網路通訊而達成的一種 約定 或者 規則 有了這種 約定 不同廠商的生產裝置，以及不同作業系統組成的計算機之間，就可以實現通訊。2.http協議是什麼？http協議是超文字傳輸協議的縮寫，他是從web伺服器傳輸超文字標記語言 html 到本地瀏覽器的傳送協議...