HTTPS，你不知道的事儿

   <h3><strong>what is https?</strong></h3>    <p>HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer），是以安全为目标的 <a href="/misc/goto?guid=4959655083224123165" rel="nofollow,noindex">HTTP</a> 通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。</p>    <p>看到上面定义，我们大致也明白了HTTPS其实就是一个经过加密后的HTTP，具有更高的安全性。因此我们就需要了解一下经过加密的HTTPS是如何工作的？</p>    <h3><strong>加密算法</strong></h3>    <p>笔者目前所了解到的算法归为三类：</p>    <ul>     <li> <p>对称加密</p>      <ul>       <li>对称密码编码技术</li>       <li>编码和解码采用相同描述字符（加密、解密采用相同密钥）</li>       <li>对称加密使用简单</li>       <li>密钥较短</li>       <li>加密、解密过程较快、耗时短</li>       <li>常见算法有：DES、3DES、IDEA、AES、RC4等等</li>      </ul> </li>     <li> <p>非对称加密</p>      <ul>       <li>加密需要两个密钥：公钥（publickey）、私钥（privatekey）</li>       <li>公钥加密，私钥才能解密</li>       <li>保密性好</li>       <li>加密、解密过程较慢、耗时多</li>       <li>适合对少量数据加密</li>       <li>常见算法有：RSA、ECC、DSA等等</li>      </ul> </li>     <li> <p>Hash算法加密</p>      <ul>       <li>单向加密</li>       <li>通过Hash算法对数据加密生成唯一Hash值，此值无法计算出原来的数据</li>       <li>频繁应用于数据完整性检验</li>       <li>常用算法有：SHA、MD2、MD4、MD5等等</li>      </ul> </li>    </ul>    <h3><strong>how to work</strong></h3>    <p>在弄清HTTPS如何工作前，我需要了解两个概念：</p>    <h3><strong>密钥</strong></h3>    <ul>     <li>加密或解密都需要一个密钥，正如开门或锁门都需要一把钥匙</li>     <li>Java中密钥由KeyGenerator或KeyPairGenerator生成的</li>     <li> <p>对称密钥（KeyGenerator生成的）</p>      <ul>       <li>使用同一个密钥加密或加密</li>      </ul> </li>     <li> <p>非对称密钥（KeyPairGenerator生成的）</p>      <ul>       <li>公钥（pulickey）广泛用做传播，主要用做加密，私钥(privatekey)用做解密(公钥加密后的数据只有私钥才能解密)</li>      </ul> </li>    </ul>    <h3><strong>证书</strong></h3>    <ul>     <li>证书是一个许可证，用来证明这个证书的可信赖的</li>     <li>证书中可能内置密钥</li>     <li>android系统内置了很多证书，证书之间存在一定信任关系，信任是嵌套的，为了确保密钥的更高安全性</li>    </ul>    <p>了解上面两个概念后，我们接着来讲HTTPS如何通信？前面在定义HTTPS时讲到HTTPS是一种加密的HTTP，为了更高的安全性，没错，密钥和证书正是特定设计来实现HTTPS安全通信的。</p>    <p>说到安全通信，我们可能先想到对称加密算法，思路如下：</p>    <ul>     <li>将数据加密</li>     <li>将加密后的数据和密钥同时传给服务器</li>     <li>服务器利用传来的密钥解密数据</li>    </ul>    <p>以上这种方案存在很大漏洞，假如加密后的数据和密钥被黑客给截获，黑客拿着密钥直接把加密后的数据给解密了，这样数据就泄漏出去了。</p>    <p style="text-align: center;"><img src="https://simg.open-open.com/show/0d79d8b5011480f8a71cad0024b21d74.jpg"></p>    <p style="text-align: center;">1132780-f58fe3a5c5a7c281.jpg</p>    <p>既然对称算法不行，那就来试试非对称算法，思路如下：</p>    <ul>     <li> <p>服务器将公钥发给客户端</p> </li>     <li> <p>客户端将数据采用公钥加密然后发送给服务器</p> </li>     <li> <p>服务器收到客户端加密数据，用私钥解密数据</p> </li>    </ul>    <p>以上这个方案貌似不错，看过前面加密算法说明的童鞋应该清楚非对称算法有缺陷，就是加密、解密过程较慢、耗时多，影响用户体验。</p>    <p style="text-align: center;"><img src="https://simg.open-open.com/show/94412c4fff6157f3e79f5117ab67d953.jpg"></p>    <p style="text-align: center;">1132780-4e0c4064e76528b6.jpg</p>    <p>那有木有更好的方案呢？必须有啦，HTTPS最终采用的安全通信方案，大家看清楚啦</p>    <p> </p>    <p style="text-align: center;"><img src="https://simg.open-open.com/show/38634624748f7f9d77ea148977f15218.jpg"></p>    <p style="text-align: center;">1132780-2d7d1306d1b86b65.jpg</p>    <p>思路如下：</p>    <ul>     <li> <p>服务器生成一对非对称加密密钥：公钥（publickey）、私钥（privatekey）</p> </li>     <li> <p>服务器将公钥（publickey）发送给客户端</p> </li>     <li> <p>客户端生成对称加密密钥（clientkey）,利用clientkey给数据加密</p> </li>     <li> <p>客户端使用服务器传来的公钥（publickey）给clientkey进行加密、此时clientkey是安全的，因为只有服务器才有私钥（private）能解密它</p> </li>     <li> <p>客户端发送用clientkey加密过的数据和用公钥（publickey）加密过的clientkey给服务器</p> </li>     <li> <p>服务器使用私钥(privatekey)解密用公钥(publickey)加密过的clientkey，得到真的clientkey</p> </li>     <li> <p>使用clientkey解密数据，这样数据就安全地从客户端传给服务器了。</p> </li>    </ul>    <h3><strong>总结</strong></h3>    <p>由于对称加密算法比非对称加密算法效率高、性能好，https决定采用对称加密算法来加密解密数据，使用非对称加密算法加密解密对称算法密钥，以确保通信安全。</p>    <p style="text-align: center;"><img src="https://simg.open-open.com/show/b2fabe1484086f7016dc0793c27c06c5.jpg"></p>    <p style="text-align: center;">1132780-253900d649118aa0.jpg</p>    <p> </p>    <p> </p>    <p> </p>    <p>来自：http://www.jianshu.com/p/756e100c1c2e</p>    <p> </p>