HTTPS (повна назва: Hyper Text Transfer Protocol over SecureSocket Layer) — це канал HTTP, метою якого є безпека. На основі HTTP шифрування передачі та аутентифікація особи забезпечують безпеку процесу передачі [1]. HTTPS додає SSL на основі HTTP. Основою безпеки HTTPS є SSL, тому SSL потрібен для деталей шифрування. HTTPS має порт за замовчуванням, відмінний від HTTP, і рівень шифрування/аутентифікації (між HTTP і TCP). Ця система забезпечує аутентифікацію та зашифровані методи зв'язку. Він широко використовується в важливих для безпеки комунікаціях у всесвітній мережі, таких як транзакційні платежі.
HTTPS в основному складається з двох частин: HTTP + SSL / TLS, тобто до HTTP додається шар модуля для обробки зашифрованої інформації. Передача інформації між сервером і клієнтом буде зашифрована через TLS, тому всі передані дані є зашифрованими даними.
Принцип HTTP
① Браузер клієнта' повинен спочатку встановити з'єднання з сервером через мережу. З'єднання завершується через TCP. Зазвичай номер порту для TCP-з'єднання дорівнює 80. Після встановлення з'єднання клієнт надсилає запит на сервер. Формат запиту: уніфікований ідентифікатор ресурсу (URL), номер версії протоколу, а потім інформація MIME, включаючи модифікатори запиту, інформацію про клієнта та вміст ліцензії.
② Після отримання запиту сервер надасть відповідну інформацію про відповідь. Формат — це рядок стану, що включає номер версії протоколу інформації, код успіху або помилки, а інформація MIME включає інформацію про сервер, інформацію про сутність та можливий вміст.
Принцип HTTPS
① Клієнт надсилає на сервер список алгоритмів, які він підтримує, і випадкове число, яке використовується для генерації ключа;
② Сервер вибирає алгоритм шифрування зі списку алгоритмів і надсилає клієнту його та сертифікат, що містить відкритий ключ сервера; сертифікат також містить ідентифікацію сервера для цілей аутентифікації, і сервер також надає користувача Використовується як випадкове число для створення ключа;
③ Клієнт перевіряє сертифікат сервера' (для перевірки сертифіката можна звернутися до цифрового підпису) та витягує відкритий ключ сервера' потім згенеруйте рядок випадкового пароля, який називається pre_master_secret, і використовуйте відкритий ключ сервера' Шифрувати (див. асиметричне шифрування/дешифрування) і надішліть зашифровану інформацію на сервер;
④ Клієнт і сервер незалежно обчислюють ключі шифрування і MAC на основі pre_master_secret і випадкового значення клієнта і сервера (див. алгоритм обміну ключами DH);
⑤ Клієнт надсилає на сервер значення MAC усіх повідомлень рукостискання;
⑥ Сервер надсилає клієнту значення MAC усіх повідомлень про рукостискання
перевага
Використовуйте протокол HTTPS для автентифікації користувачів і серверів, щоб переконатися, що дані надсилаються на правильний клієнт і сервер;
Протокол HTTPS – це мережевий протокол, створений за допомогою SSL+HTTP, який можна використовувати для зашифрованої передачі та автентифікації особи. Це безпечніше, ніж HTTP. Він може запобігти крадіжці та зміні даних під час передачі та забезпечити цілісність даних.
HTTPS є найбезпечнішим рішенням в рамках поточної архітектури. Хоча це не зовсім безпечно, воно значно збільшує вартість атак «людина посередині».
недолік
У тому ж мережевому середовищі протокол HTTPS збільшить час завантаження сторінки майже на 50% і збільшить споживання енергії на 10-20%. Крім того, протокол HTTPS також вплине на кеш, збільшуючи накладні витрати даних і енергоспоживання.
Безпека протоколу HTTPS має масштаби, і він мало впливає на атаки хакерів, атаки відмови в обслуговуванні та викрадення серверів.
Найголовніше, що система кредитного ланцюга сертифіката SSL не є захищеною. Особливо, коли деякі країни можуть контролювати кореневий сертифікат ЦС, атаки «человік посередині» також можливі.
Збільшені витрати. Після розгортання HTTPS робота протоколу HTTPS збільшить споживання додаткових обчислювальних ресурсів. Наприклад, алгоритм шифрування протоколу SSL і кількість взаємодій SSL будуть займати певну кількість обчислювальних ресурсів і витрати сервера. У сценарії великомасштабних програм доступу користувачів сервер повинен виконувати часті операції шифрування та дешифрування, і майже кожен байт потрібно шифрувати та розшифровувати, що тягне за собою витрати на сервер. З розвитком технології хмарних обчислень вартість використання серверів, розгорнутих у центрах обробки даних, поступово зменшувалася після збільшення масштабу. У порівнянні з покращенням безпеки доступу користувачів, вартість введення впала до прийнятного рівня.
