最近果壳网小组关于https的一篇短文,简单归纳整理了一些笔记,原文请点击链接

什么是HTTPS

HTTP协议传输的数据都是未加密的,也就是明文的,因此使用HTTP协议传输隐私信息非常不安全。为了保证这些隐私数据能加密传输,于是网景公司设计了SSL(Secure Sockets Layer)协议用于对HTTP协议传输的数据进行加密,从而就诞生了HTTPS。之后IETF对SSL 3.0进行了升级,于是出现了TLS(Transport Layer Security) 1.0,目前TLS的版本是1.2。

Https的工作原理

  1. 浏览器将自己支持的一套加密规则发送给网站。
  2. 网站从中选出一组加密算法与HASH算法,并将自己的身份信息以证书的形式发回给浏览器。证书里面包含了网站地址,加密公钥,以及证书的颁发机构等信息。
  3. 获得网站证书之后浏览器要做以下工作:
  • 验证证书的合法性(颁发证书的机构是否合法,证书中包含的网站地址是否与正在访问的地址一致等),如果证书受信任,则浏览器栏里面会显示一个小锁头,否则会给出证书不受信的提示。

  • 如果证书受信任,或者是用户接受了不受信的证书,浏览器会生成一串随机数的密码,并用证书中提供的公钥加密。

  • 使用约定好的HASH计算握手消息,并使用生成的随机数对消息进行加密,最后将之前生成的所有信息发送给网站。

  1. 网站接收浏览器发来的数据之后要做以下的操作:
  • 使用自己的私钥将信息解密取出密码,使用密码解密浏览器发来的握手消息,并验证HASH是否与浏览器发来的一致。

  • 使用密码加密一段握手消息,发送给浏览器。

  1. 浏览器解密并计算握手消息的HASH,如果与服务端发来的HASH一致,此时握手过程结束,之后所有的通信数据将由之前浏览器生成的随机密码并利用对称加密算法进行加密。

注: 另外,HTTPS一般使用的加密与HASH算法如下:

  • 非对称加密算法:RSA,DSA/DSS
  • 对称加密算法:AES,RC4,3DES
  • HASH算法:MD5,SHA1,SHA256

X-Forwarded-for及X-Real-IP

一个用于解决HTTP代理服务器和web应用间获取真实IP的头,其规则为假如有n级代理的话,那第n级地理的X-Forwarded-for的值则如下显示

X-Forwarded-for:用户IP,第1级代理IP,第2级代理IP...,第n-1级代理IP
X-real-ip:用户IP