為了一個(gè)?HTTPS，瀏覽器操碎了心···
[導(dǎo)讀]我是一個(gè)瀏覽器，每到夜深人靜的時(shí)候，主人就打開我開始學(xué)習(xí)。為了不讓別人看到瀏覽記錄，主人選擇了“無(wú)痕模式”。但網(wǎng)絡(luò)中總是有很多壞人，他們通過(guò)抓包截獲我和服務(wù)器的通信，主人干了什么，請(qǐng)求了什么數(shù)據(jù)全被他們知道了！光竊聽(tīng)也就罷了，他們還經(jīng)常篡改內(nèi)容，在網(wǎng)頁(yè)里面插入誘人的小廣告，真是太壞了！為了保護(hù)主人的隱私還他一個(gè)干凈的上網(wǎng)環(huán)境，我決定對(duì)通信加密！第一版：直接簡(jiǎn)單加密加密嘛，很簡(jiǎn)單，把原來(lái)要發(fā)送的數(shù)據(jù)加密處理后再發(fā)給服務(wù)器就行了。為了安全，密鑰當(dāng)然不能固定，每一次通信都要隨機(jī)生成。不過(guò)接下來(lái)我犯難了，我該怎么把這個(gè)秘鑰告訴服務(wù)器呢，服務(wù)器沒(méi)有秘鑰就解不了密，也就不知道我在請(qǐng)求什么資源了。也不能直接...
我是一個(gè)瀏覽器，每到夜深人靜的時(shí)候，主人就打開我開始學(xué)習(xí)。為了不讓別人看到瀏覽記錄，主人選擇了“無(wú)痕模式”。但網(wǎng)絡(luò)中總是有很多壞人，他們通過(guò)抓包截獲我和服務(wù)器的通信，主人干了什么，請(qǐng)求了什么數(shù)據(jù)全被他們知道了！證書的簽發(fā) 證書的驗(yàn)證
第一版：直接簡(jiǎn)單加密
加密嘛，很簡(jiǎn)單，把原來(lái)要發(fā)送的數(shù)據(jù)加密處理后再發(fā)給服務(wù)器就行了。第二版：非對(duì)稱加密
服務(wù)器告訴我，我們之前用的那種加密算法叫對(duì)稱加密算法，也就是加密和解密使用的同一個(gè)秘鑰。還有一種叫非對(duì)稱加密算法，這種算法有兩個(gè)秘鑰，一個(gè)公開的叫公鑰，一個(gè)私藏的叫私鑰。第三版：非對(duì)稱與對(duì)稱加密結(jié)合
但我忍了沒(méi)幾天就忍不住了。這個(gè)非對(duì)稱加密算法好是好，就是加解密太費(fèi)時(shí)間了，導(dǎo)致我渲染一個(gè)網(wǎng)頁(yè)要花很久時(shí)間，卡的不行。我打算去跟服務(wù)器商量一下辦法，沒(méi)想到服務(wù)器比我更頭疼，他要服務(wù)很多瀏覽器，每一個(gè)都這么加解密，把他累的夠嗆。于是我們決定，還是用原來(lái)的對(duì)稱加密算法，這樣快得多。但是一開始的時(shí)候可以用非對(duì)稱加密算法來(lái)傳輸后面要用的秘鑰，把兩種算法的優(yōu)勢(shì)結(jié)合起來(lái)。第四版：秘鑰計(jì)算
有一天，服務(wù)器告訴我，我們現(xiàn)在的秘鑰就是一個(gè)隨機(jī)數(shù)，而隨機(jī)數(shù)并不是真正隨機(jī)的，可能被預(yù)測(cè)出來(lái)，所以我們得提升這個(gè)秘鑰的安全性。一個(gè)隨機(jī)數(shù)不夠，那就多弄幾個(gè)！一端容易被猜出來(lái)，那就兩端一起生成！我們決定各自生成一個(gè)隨機(jī)數(shù)發(fā)給對(duì)方，我再額外加密傳輸一個(gè)隨機(jī)數(shù)給服務(wù)器，這一來(lái)，咱們雙方都有3個(gè)隨機(jī)數(shù)了，然后雙方都用這三個(gè)隨機(jī)數(shù)計(jì)算出真正的秘鑰，這可比一個(gè)單純的隨機(jī)數(shù)要安全得多了。第五版：數(shù)字證書
原以為這個(gè)方案已經(jīng)萬(wàn)無(wú)一失了，沒(méi)想到我和服務(wù)器的通信還是泄露了···原來(lái)有個(gè)家伙冒充服務(wù)器跟我通信，然后又冒充我跟服務(wù)器通信，把我的請(qǐng)求進(jìn)行了轉(zhuǎn)發(fā)，我們倆都被蒙在鼓里，這就是中間人攻擊。第六版：信任鏈
我們這加密方案一傳十，十傳百，很快就傳遍了整個(gè)互聯(lián)網(wǎng)，想要使用這套方案的服務(wù)器越來(lái)越多，畢竟，誰(shuí)都不希望自己的網(wǎng)站被人插入小廣告。可原來(lái)的那個(gè)公證人有些忙不過(guò)來(lái)了，于是，大家開始推選更多的公證人，公證人開始多了起來(lái)，不僅多了起來(lái)，而且還形成了產(chǎn)業(yè)鏈。原來(lái)的公證人變成了一代目，一代目可以給新的公證人簽發(fā)證書，新的公證人就變成了二代目，還有三代目，搞得跟傳銷似的。原來(lái)只有一個(gè)公證人的時(shí)候，大家直接保存他的公鑰就行了?，F(xiàn)在公證人越來(lái)越多，我們沒(méi)辦法保存所有的公證人的公鑰了，就算能保存得下，但有新的公證人出現(xiàn)的時(shí)候我們也做不到實(shí)時(shí)更新。PS：本文用故事形式講述了HTTPS是如何工作的，只是起一個(gè)引領(lǐng)入門的作用，略去了很多細(xì)節(jié)，實(shí)際情況遠(yuǎn)比這復(fù)雜，比如對(duì)稱加密秘鑰的計(jì)算方式、秘鑰的交換算法（RSA、DH、ECDH還有區(qū)別），雙方測(cè)試秘鑰正確性的方式都沒(méi)有體現(xiàn)出來(lái)，有機(jī)會(huì)再寫一篇正經(jīng)的技術(shù)文來(lái)詳細(xì)抓包剖析HTTPS詳細(xì)流程。希望本文對(duì)大家理解HTTPS機(jī)制有一些幫助，再看其他專業(yè)介紹時(shí)不再吃力。- EOF -
下載文檔
