1. 由來

HTTP請(qǐng)求都是明文傳輸?shù)?，所謂的明文指的是沒有經(jīng)過加密的信息，如果HTTP請(qǐng)求被黑客攔截，并且里面含有敏感數(shù)據(jù)的話，會(huì)非常危險(xiǎn)。為了解決這個(gè)問題，Netscape 公司制定了HTTPS協(xié)議，HTTPS可以將數(shù)據(jù)加密傳輸，也就是傳輸?shù)氖敲芪模幢愫诳驮趥鬏斶^程中攔截到數(shù)據(jù)也無法破譯，這就保證了網(wǎng)絡(luò)通信的安全。

2. 密碼學(xué)基礎(chǔ)

在正式講解HTTPS協(xié)議之前，我們首先要知道一些密碼學(xué)的知識(shí)。

明文： 明文指的是未被加密過的原始數(shù)據(jù)。
密文：明文被某種加密算法加密之后，會(huì)變成密文，從而確保原始數(shù)據(jù)的安全。密文也可以被解密，得到原始的明文。
密鑰：密鑰是一種參數(shù)，它是在明文轉(zhuǎn)換為密文或?qū)⒚芪霓D(zhuǎn)換為明文的算法中輸入的參數(shù)。密鑰分為對(duì)稱密鑰與非對(duì)稱密鑰，分別應(yīng)用在對(duì)稱加密和非對(duì)稱加密上。

對(duì)稱加密：對(duì)稱加密又叫做私鑰加密，即信息的發(fā)送方和接收方使用同一個(gè)密鑰去加密和解密數(shù)據(jù)。對(duì)稱加密的特點(diǎn)是算法公開、加密和解密速度快，適合于對(duì)大數(shù)據(jù)量進(jìn)行加密，常見的對(duì)稱加密算法有DES、3DES、TDEA、Blowfish、RC5和IDEA。
其加密過程如下：明文 + （加密算法 + 私鑰） => 密文
解密過程如下： 密文 + （解密算法 + 私鑰） => 明文

對(duì)稱加密中用到的密鑰叫做私鑰，私鑰表示個(gè)人私有的密鑰，即該密鑰不能被泄露。
其加密過程中的私鑰與解密過程中用到的私鑰是同一個(gè)密鑰，這也是稱加密之所以稱之為“對(duì)稱”的原因。由于對(duì)稱加密的算法是公開的，所以一旦私鑰被泄露，那么密文就很容易被破解，所以對(duì)稱加密的缺點(diǎn)是密鑰安全管理困難。

非對(duì)稱加密：非對(duì)稱加密也叫做公鑰加密。非對(duì)稱加密與對(duì)稱加密相比，其安全性更好。對(duì)稱加密的通信雙方使用相同的密鑰，如果一方的密鑰遭泄露，那么整個(gè)通信就會(huì)被破解。而非對(duì)稱加密使用一對(duì)密鑰，即公鑰和私鑰，且二者成對(duì)出現(xiàn)。私鑰被自己保存，不能對(duì)外泄露。公鑰指的是公共的密鑰，任何人都可以獲得該密鑰。用公鑰或私鑰中的任何一個(gè)進(jìn)行加密，用另一個(gè)進(jìn)行解密。
被公鑰加密過的密文只能被私鑰解密，過程如下：
明文 + （加密算法 + 公鑰） => 密文， 密文 + (解密算法 + 私鑰) => 明文
被私鑰加密過的密文只能被公鑰解密，過程如下：
明文 + (加密算法 + 私鑰) => 密文， 密文 + (解密算法 + 公鑰) => 明文

由于加密和解密使用了兩個(gè)不同的密鑰，這就是非對(duì)稱加密“非對(duì)稱”的原因。
非對(duì)稱加密的缺點(diǎn)是加密和解密花費(fèi)時(shí)間長、速度慢，只適合對(duì)少量數(shù)據(jù)進(jìn)行加密。
在非對(duì)稱加密中使用的主要算法有：RSA、Elgamal、Rabin、D-H、ECC（橢圓曲線加密算法）等。

3. https通信過程

HTTPS = HTTP + SSL/TLS，在HTTPS數(shù)據(jù)傳輸?shù)倪^程中，需要用SSL/TLS對(duì)數(shù)據(jù)進(jìn)行加密和解密，需要用HTTP對(duì)加密后的數(shù)據(jù)進(jìn)行傳輸，由此可以看出HTTPS是由HTTP和SSL/TLS一起合作完成的。

HTTPS在傳輸?shù)倪^程中會(huì)涉及到三個(gè)密鑰：

服務(wù)器端的公鑰和私鑰，用來進(jìn)行非對(duì)稱加密

客戶端生成的隨機(jī)密鑰，用來進(jìn)行對(duì)稱加密

1、 客戶端向服務(wù)器發(fā)起HTTPS請(qǐng)求，根據(jù)RFC2818的規(guī)定，Client知道需要連接Server的443（默認(rèn)）端口。

1、 支持的協(xié)議版本，比如TLS 1.0版。
2、 支持的加密方法，比如RSA公鑰加密。
3、 支持的壓縮方法。

2、 服務(wù)器端有一個(gè)密鑰對(duì)，即公鑰和私鑰，Server把事先配置好的公鑰證書（public key certificate）返回給客戶端。

SSL 證書中包含的具體內(nèi)容有：
（1）證書的發(fā)布機(jī)構(gòu)CA
（2）證書的有效期
（3）公鑰
（4）證書所有者
（5）簽名

1、 確認(rèn)使用的加密通信協(xié)議版本，比如TLS 1.0版本。如果瀏覽器與服務(wù)器支持的版本不一致，服務(wù)器關(guān)閉加密通信。
2、 確認(rèn)使用的加密方法，比如RSA公鑰加密。

3、 Client驗(yàn)證公鑰證書：比如是否在有效期內(nèi)，證書的用途是不是匹配Client請(qǐng)求的站點(diǎn)，是不是在CRL吊銷列表里面，它的上一級(jí)證書是否有效，這是一個(gè)遞歸的過程，直到驗(yàn)證到根證書（操作系統(tǒng)內(nèi)置的Root證書或者Client內(nèi)置的Root證書）。如果驗(yàn)證通過則繼續(xù)，不通過則顯示警告信息。

（1）首先瀏覽器讀取證書中的證書所有者、有效期等信息進(jìn)行一一校驗(yàn)
（2）瀏覽器開始查找操作系統(tǒng)中已內(nèi)置的受信任的證書發(fā)布機(jī)構(gòu)CA，與服務(wù)器發(fā)來的證書中的頒發(fā)者CA比對(duì)，用于校驗(yàn)證書是否為合法機(jī)構(gòu)頒發(fā)
（3）如果找不到，瀏覽器就會(huì)報(bào)錯(cuò)，說明服務(wù)器發(fā)來的證書是不可信任的。
（4）如果找到，那么瀏覽器就會(huì)從操作系統(tǒng)中取出 頒發(fā)者CA 的公鑰，然后對(duì)服務(wù)器發(fā)來的證書里面的簽名進(jìn)行解密
（5）瀏覽器使用相同的hash算法計(jì)算出服務(wù)器發(fā)來的證書的hash值，將這個(gè)計(jì)算的hash值與證書中簽名做對(duì)比
（6）對(duì)比結(jié)果一致，則證明服務(wù)器發(fā)來的證書合法，沒有被冒充
（7）此時(shí)瀏覽器就可以讀取證書中的公鑰，用于后續(xù)加密了

4、 Client使用偽隨機(jī)數(shù)生成器生成加密所使用的對(duì)稱密鑰，然后用證書的公鑰加密這個(gè)對(duì)稱密鑰，發(fā)給Server。

5、 Server使用自己的私鑰（private key）解密這個(gè)消息，得到對(duì)稱密鑰。至此，Client和Server雙方都持有了相同的對(duì)稱密鑰。

6、 Server使用對(duì)稱密鑰加密“明文內(nèi)容A”，發(fā)送給Client。

7、 Client使用對(duì)稱密鑰解密響應(yīng)的密文，得到“明文內(nèi)容A”。

8、 Client再次發(fā)起HTTPS的請(qǐng)求，使用對(duì)稱密鑰加密請(qǐng)求的“明文內(nèi)容B”，然后Server使用對(duì)稱密鑰解密密文，得到“明文內(nèi)容B”。

4. Charles抓取HTTPS原理