在说HTTPS之前先说说什么是HTTP，HTTP就是我们平时浏览网页时候使用的一种协议。HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全。为了保证这些隐私数据能加密传输，于是网景公司设计了SSL（Secure Sockets Layer）协议用于对HTTP协议传输的数据进行加密，从而就诞生了HTTPS。SSL目前的版本是3.0，被IETF（Internet Engineering Task Force）定义在RFC 6101中，之后IETF对SSL 3.0进行了升级，于是出现了TLS（Transport Layer Security） 1.0，定义在RFC 2246。实际上我们现在的HTTPS都是用的TLS协议，但是由于SSL出现的时间比较早，并且依旧被现在浏览器所支持，因此SSL依然是HTTPS的代名词，但无论是TLS还是SSL都是上个世纪的事情，SSL最后一个版本是3.0，今后TLS将会继承SSL优良血统继续为我们进行加密服务。目前TLS的版本是1.2，定义在RFC 5246中，暂时还没有被广泛的使用 ()
概念可参考百科
http://baike.baidu.com/link?url=M8pBu1j_22f0PW6izvAOCTjhepyRcT320U9LDmjyzb586OYS_aBALxfqIGVca1V-8MJeSl3bTUEOThMuwpamPK
Https在真正请求数据前，先会与服务有几次握手验证，以证明相互的身份，以下图为例
2.1 验证流程
注：文中所写的序号与图不对应但流程是对应的
1 客户端发起一个https的请求，把自身支持的一系列Cipher Suite（密钥算法套件，简称Cipher）发送给服务端
2 服务端，接收到客户端所有的Cipher后与自身支持的对比，如果不支持则连接断开，反之则会从中选出一种加密算法和HASH算法
以证书的形式返回给客户端 证书中还包含了 公钥 颁证机构 网址 失效日期等等。
3 客户端收到服务端响应后会做以下几件事
3.1 验证证书的合法性
颁发证书的机构是否合法与是否过期，证书中包含的网站地址是否与正在访问的地址一致等
证书验证通过后，在浏览器的地址栏会加上一把小锁(每家浏览器验证通过后的提示不一样 不做讨论)
3.2 生成随机密码
如果证书验证通过，或者用户接受了不授信的证书，此时浏览器会生成一串随机数，然后用证书中的公钥加密。
3.3 HASH握手信息
用最开始约定好的HASH方式，把握手消息取HASH值， 然后用 随机数加密 “握手消息+握手消息HASH值(签名)” 并一起发送给服务端
在这里之所以要取握手消息的HASH值，主要是把握手消息做一个签名，用于验证握手消息在传输过程中没有被篡改过。
4 服务端拿到客户端传来的密文，用自己的私钥来解密握手消息取出随机数密码，再用随机数密码 解密 握手消息与HASH值，并与传过来的HASH值做对比确认是否一致。
然后用随机密码加密一段握手消息(握手消息+握手消息的HASH值 )给客户端
5 客户端用随机数解密并计算握手消息的HASH，如果与服务端发来的HASH一致，此时握手过程结束，之后所有的通信数据将由之前浏览器生成的随机密码并利用对称加密算法进行加密
因为这串密钥只有客户端和服务端知道，所以即使中间请求被拦截也是没法解密数据的，以此保证了通信的安全
非对称加密算法：RSA，DSA/DSS 在客户端与服务端相互验证的过程中用的是对称加密 对称加密算法：AES，RC4，3DES 客户端与服务端相互验证通过后，以随机数作为密钥时，就是对称加密 HASH算法：MD5，SHA1，SHA256 在确认握手消息没有被篡改时
2.2 客户端如何验证 证书的合法性？
1. 验证证书是否在有效期内。
在服务端面返回的证书中会包含证书的有效期，可以通过失效日期来验证 证书是否过期
2. 验证证书是否被吊销了。
被吊销后的证书是无效的。验证吊销有CRL(证书吊销列表)和OCSP(在线证书检查)两种方法。
证书被吊销后会被记录在CRL中，CA会定期发布CRL。应用程序可以依靠CRL来检查证书是否被吊销了。
CRL有两个缺点，一是有可能会很大，下载很麻烦。针对这种情况有增量CRL这种方案。二是有滞后性，就算证书被吊销了，应用也只能等到发布最新的CRL后才能知道。
增量CRL也能解决一部分问题，但没有彻底解决。OCSP是在线证书状态检查协议。应用按照标准发送一个请求，对某张证书进行查询，之后服务器返回证书状态。
OCSP可以认为是即时的（实际实现中可能会有一定延迟），所以没有CRL的缺点。
3. 验证证书是否是上级CA签发的。
windows中保留了所有受信任的根证书，浏览器可以查看信任的根证书，自然可以验证web服务器的证书， 是不是由这些受信任根证书颁发的或者受信任根证书的二级证书机构颁发的（根证书机构可能会受权给底下的中级证书机构，然后由中级证书机构颁发中级证书） 在验证证书的时候，浏览器会调用系统的证书管理器接口对证书路径中的所有证书一级一级的进行验证，只有路径中所有的证书都是受信的，整个验证的结果才是受信如果您觉得本文让您有所收获，不妨点下赞，为我的付出，给一点点回报！
如果您觉得本人也有点意思，不妨点个观注，大家一起谈技术，谈人生！
以下为参考资料
http://www.guokr.com/post/114121/ https原理 http://www.guokr.com/post/116169/ SSL证书 http://www.cnblogs.com/svan/p/5090201.html https工作原理 http://blog.csdn.net/clh604/article/details/22179907 Https 原理 https://www.zhihu.com/question/37370216/answer/71956414 浏览器如何验证HTTPS证书的合法性？ http://blog.csdn.net/wkk2620632/article/details/39433673 公钥证书cer,pfx http://www.07net01.com/zhishi/640504.html 数字证书资料cer和pfx的区别 分类: Http 好文要顶 关注我 收藏该文 Zery 关注 - 82 粉丝 - 554 +加关注 26 0 « 上一篇： 让数据决策你的行为--拉勾网数据分析 » 下一篇： xml posted @ 2016-02-01 08:53 Zery 阅读( 8343) 评论( 12) 编辑 收藏 评论列表 #1楼 2016-02-01 09:08 某个人。 Thx 4 shared. 支持(0) 反对(0) http://pic.cnblogs.com/face/498413/20160819174055.png #2楼 2016-02-01 09:11 Lumia1020 Mark 支持(0) 反对(0) http://pic.cnblogs.com/face/620936/20170119143545.png #3楼 2016-02-01 13:21 明海哥哥 这么早就放假，羡慕 支持(0) 反对(0) #4楼 2016-02-01 14:18 oct 证书crt上的公钥只是用来加密随机数，而真正的内容通信是由客户端产生的这个随机数作为密钥进行加密。那么如果一个站点的客户端数量非常庞大，那么网站服务器端岂不是要维护很大的一个随机密钥的表在缓存当中？ 支持(1) 反对(0) #5楼 2016-02-01 14:32 西瓜不哭 不错 ！！ 支持(0) 反对(0) #6楼 2016-02-01 16:09 都是那行码 阅读中发现这里可能博主少写了一个字。 非对称加密算法：RSA，DSA/DSS 在客户端与服务端相互验证的过程中用的是非对称加密 支持(1) 反对(0) #7楼 2016-02-01 22:27 Sieata mark 支持(0) 反对(0) #8楼 2016-02-02 09:34 SzeCheng 前两天我干了这样一件事情。 利用Fiddler做代理，篡改访问返回的数据。 把访问 https://smp-device-content.apple.com/static/region/v2/config.json 的结果篡改为 https://smp-device-content.apple.com/static/region/v2/config-beta.json 想来欺骗手机。 结果手机去请求，Fiddler上显示了Tunnel to。 手机上显示无网络连接。 这是什么地方出了问题呢？ 还有Tunnel to 是代表了什么？ 支持(0) 反对(0) http://pic.cnblogs.com/face/715262/20150118161150.png #9楼 2016-02-02 16:17 zhidan mark 支持(0) 反对(0) http://pic.cnblogs.com/face/478748/20140814135509.png #10楼 [ 楼主] 2016-02-03 21:29 Zery @ SzeCheng 为了防止中间人攻击 请求的消息中会有消息签名 客户端服务端都会对消息进行签名验证如果不一致则会断开连接 你就是签名不一致所以断开连接了 支持(0) 反对(0) http://pic.cnblogs.com/face/366784/20130905143458.png #11楼 2016-02-04 12:08 SzeCheng @ Zery 我估计也是这样的 不过Tunnel to 是个什么意思呢 支持(0) 反对(0) http://pic.cnblogs.com/face/715262/20150118161150.png #12楼 3360900 2016/2/14 10:53:47 2016-02-14 10:53 Json mark 支持(0) 反对(0) http://pic.cnblogs.com/face/u290610.jpg?id=09223729 刷新评论 刷新页面 返回顶部 注册用户登录后才能发表评论，请 登录 或 注册， 访问网站首页。 【推荐】50万行VC++源码: 大型组态工控、电力仿真CAD与GIS源码库 【推荐】Google+GitHub联手打造前端工程师课程 最新IT新闻: · 维基解密：全球手机成CIA窃听器 关机也能录音 · 实拍国内最大共享单车工厂：10分钟下线16辆 · Google计划收购数据科学社区Kaggle · 微软旗下社交网站So.cl将于2017年3月15日关停 · 今天没Windows 10新版？原是临推送前被紧急撤回 » 更多新闻... 最新知识库文章: · 垃圾回收原来是这么回事 · 「代码家」的学习过程和学习经验分享 · 写给未来的程序媛 · 高质量的工程代码为什么难写 · 循序渐进地代码重构 » 更多知识库文章...正在读的书：
昵称： Zery 园龄： 5年2个月 粉丝： 554 关注： 82 +加关注 <2017年3月> 日一二三四五六2627281234567891011121314151617181920212223242526272829303112345678
