一、HTTP的缺點
通信使用文明可能會被竊聽
不驗證通信放的身份就可能遭遇偽裝
無法證明報文完整性，可能已遭篡改
1、通信使用文明可能會被竊聽
HTTP不具備加密功能，使用明文方式發送
TCP/IP是可能被監聽的網路，互聯網上的任何角落都存在通信內容被竊聽的風險
加密處理防止被竊聽：
通信的加密：使用SSL和TLS的組合，加密HTTP通信內容
內容的加密：要求客戶端和服務器具有加密、解密的功能
2、不驗證通信放的身份就可能遭遇偽裝
任何人都可發起請求的隱患：
無法確認回應服務器是否真實（有可能是偽裝的）
無法確認發送請求的客戶端是否真實（有可能是偽裝的）
無法確認通信對方是否有權限，
無法確認請求來自哪里
無法阻止海量請求的Dos攻擊
查明對手的證書：SSL不僅提供加密處理，還使用證書的手段
3、無法證明報文完整性，可能已遭篡改
收的內容可能有誤
請求或回應遭到篡改，也無法知道
二、HTTP+加密+認證+完整性保護=HTTPS
1、HTTP加上加密處理和認證以及完整性保護后即時HTTPS
HTTPS瀏覽器會自動加一個鎖的標識
2、HTTPS是身披SSL外殼的HTTP
http通信介面用戶SSL和TLS協議代替（之前是：HTTP和TCP通信，現在是：HTTP和SSL通信，然后SSL再和TCP通信）
3、相互交換密鑰的公開密鑰加密技術
SSL：公開密鑰加密（有了密鑰才能解密）
共享密鑰加密：對稱加密，加密和解密是一個密鑰
公開密鑰加密：非對稱加密（公鑰+私鑰）公鑰加密，私鑰解密，
HTTPS采用混合加密：先公開加密傳達共享密鑰（安全），然后共享加密（提高通信速度）
4、證明公開密鑰正確性的證書
公開密鑰證書被替換
可證明組織性的EVSSL證書：（綠色圖示）目的防止用戶被釣魚攻擊
用以確認客戶端的客戶端證書：用戶需自行安裝（如：網銀）
可以偽造數字簽名證書
自簽名證書：自己頒給自己服務器的證書
5、HTTPS的安全通信機制
缺點：
SSL，通信慢，大量消耗CPU，（進行SSL通信、加密處理）
購買證書開銷大
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/238954.html
標籤：其他