HTTP 和 HTTPS 的异同

本文详细介绍了HTTPS的概念及其实现原理,对比了HTTPS与HTTP的区别,并解释了为何需要使用HTTPS。此外,还探讨了HTTPS的工作流程及其应用场景。
本文转自:http://www.oschina.net/question/12_51314

什么是 HTTPS?

HTTPS (基于安全套接字层的超文本传输协议 或者是 HTTP over SSL) 是一个 Netscape 开发的 Web 协议。

你也可以说:HTTPS = HTTP + SSL

HTTPS 在 HTTP 应用层的基础上使用安全套接字层作为子层。

为什么需要 HTTPS :

超文本传输协议 (HTTP) 是一个用来通过互联网传输和接收信息的协议。HTTP 使用请求/响应的过程,因此信息可在服务器间快速、轻松而且精确的进行传输。当你访问 Web 页面的时候你就是在使用 HTTP 协议,但 HTTP 是不安全的,可以轻松对窃*听你跟 Web 服务器之间的数据传输。在很多情况下,客户和服务器之间传输的是敏感歇息,需要防止未经授权的访问。为了满足这个要求,网景公司(Netscape)推出了 HTTPS,也就是基于安全套接字层的 HTTP 协议。

HTTP 和 HTTPS 的相同点:

大多数情况下,HTTP 和 HTTPS 是相同的,因为都是采用同一个基础的协议,作为 HTTP 或 HTTPS 客户端——浏览器,设立一个连接到 Web 服务器指定的端口。当服务器接收到请求,它会返回一个状态码以及消息,这个回应可能是请求信息、或者指示某个错误发送的错误信息。系统使用统一资源定位器 URI 模式,因此资源可以被唯一指定。而 HTTPS 和 HTTP 唯一不同的只是一个协议头(https)的说明,其他都是一样的。

HTTP 和 HTTPS 的不同之处:

1. HTTP 的 URL 以 http:// 开头,而 HTTPS 的 URL 以 https:// 开头
2. HTTP 是不安全的,而 HTTPS 是安全的
3. HTTP 标准端口是 80 ,而 HTTPS 的标准端口是 443
4. 在 OSI 网络模型中,HTTP 工作于应用层,而 HTTPS 工作在传输层
5. HTTP 无需加密,而 HTTPS 对传输的数据进行加密
6. HTTP 无需证书,而 HTTPS 需要认证证书
HTTPS 如何工作?
使用 HTTPS 连接时,服务器要求有公钥和签名的证书。

当使用 https 连接,服务器响应初始连接,并提供它所支持的加密方法。作为回应,客户端选择一个连接方法,并且客户端和服务器端交换证书验证彼此身份。完成之后,在确保使用相同密钥的情况下传输加密信息,然后关闭连接。为了提供 https 连接支持,服务器必须有一个公钥证书,该证书包含经过证书机构认证的密钥信息,大部分证书都是通过第三方机构授权的,以保证证书是安全的。

换句话说,HTTPS 跟 HTTP 一样,只不过增加了 SSL。

HTTP 包含如下动作:

1. 浏览器打开一个 TCP 连接
2. 浏览器发送 HTTP 请求到服务器端
3. 服务器发送 HTTP 回应信息到浏览器
4. TCP 连接关闭

SSL 包含如下动作:

1. 验证服务器端
2. 允许客户端和服务器端选择加密算法和密码,确保双方都支持
3. 验证客户端(可选)
4. 使用公钥加密技术来生成共享加密数据
5. 创建一个加密的 SSL 连接
6. 基于该 SSL 连接传递 HTTP 请求

什么时候该使用 HTTPS?

银行网站、支付网关、购物网站、登录页、电子邮件以及一些企业部门的网站应该使用 HTTPS,例如:

PayPal: https://www.paypal.com

Google AdSense: https://www.google.com/adsense/

如果某个网站要求你填写信用卡信息,首先你要检查该网页是否使用 https 加密连接,如果没有,那么请不要输入任何敏感信息如信用卡号。

浏览器集成

多数浏览器在收到一个无效证书的时候都会显示警告信息,而一些老的浏览器会弹出对话框让用户选择是否继续浏览。新的浏览器一般在整个窗口显示横幅的警告信息,同时在地址栏上显示该网站的安全信息。如果网站中包含加密和非加密的混合内容,多数浏览器会提示警告信息。

英文原文,OSCHINA原创翻译
<think>我们正在讨论HTTPSHTTP的区别。用户的问题是基于提供的引用材料,要求总结HTTPSHTTP的主要区别及异同点。引用材料中提到了多个方面,包括安全性、加密、端口、协议层次等。我们需要整合这些信息,以清晰的结构呈现。根据引用[1][2]:-HTTP是超文本传输协议,而HTTPS是安全的HTTPHTTPSecure)。-HTTP的URL以http://开头,使用端口80;HTTPShttps://开头,使用端口443。-HTTP是明文传输,HTTPS通过SSL/TLS加密传输。-HTTPS需要CA证书,通常需要费用,而HTTP不需要。-HTTPS在传输层完成加密(因为SSL/TLS位于传输层),而HTTP没有加密。-HTTP连接简单且无状态,HTTPS则是HTTP+SSL/TLS,可进行加密传输身份认证。引用[3]指出:-HTTP是应用层协议,基于B/S架构,由服务器程序(如httpd,nginx)客户端程序(如浏览器)实现。引用[4]补充了HTTP的特点:简单快速,只需传送请求方法路径,服务器程序规模小,通信速度快。引用[5]虽然关于AOPOOP,但与本问题无关,忽略。因此,我们可以从以下几个方面组织答案:1.基本定义(相同点:都是应用层协议,用于Web数据传输;不同点:安全性)2.安全性(加密、认证)3.连接方式(端口、协议栈)4.性能(速度、资源消耗)5.使用成本(证书)注意:回答中需要自然地添加引用标识,例如在相关陈述后加上[^1][^2]等。由于引用材料中没有引用[3][4]关于HTTP的详细描述,但用户提供了这些引用,我们可以在适当的地方引用。另外,用户要求生成相关问题,我们可以在最后提出三个相关问题。由于用户特别要求参考上一次的问题回答,但上一次是关于原子操作,而本次是HTTPSHTTP,两者无关,因此我们专注于当前问题。回答结构:一、相同点二、不同点(分点详细说明)三、总结然后生成相关问题。注意:用户要求使用中文回答,并且按照格式要求处理数学表达式(但本问题可能不涉及数学表达式,所以主要注意引用格式)。</think>### HTTPSHTTP异同点详解 #### 一、核心相同点 1. **基础协议相同** HTTPS 本质是 HTTP 的安全增强版,两者都遵循**应用层协议**规范,用于客户端(浏览器)与服务器之间的数据交互[^3]。 2. **数据传输目标一致** 均用于传输超文本(HTML)、图片、脚本等网络资源,实现网页内容的加载与渲染。 #### 二、关键区别 | **特性** | **HTTP** | **HTTPS** | **安全影响** | |------------------|-----------------------------------------|---------------------------------------------|---------------------------------------| | **传输安全性** | 明文传输(数据可被窃听/篡改)[^1] | SSL/TLS 加密传输(防窃听/防篡改)[^2] | 避免密码、银行卡号等敏感信息泄露 | | **端口号** | 80 | 443 | 防火墙策略不同 | | **URL标识** | `http://` | `https://` | 浏览器地址栏显示锁形图标(HTTPS) | | **身份认证** | 无服务器身份验证 | CA证书验证服务器真实性[^2] | 防止钓鱼网站 | | **协议栈结构** | HTTP → TCP | HTTPSSL/TLS → TCP[^1][^2] | HTTPS在传输层实现加密 | | **性能开销** | 无加密开销(速度快)[^4] | 加密/解密消耗CPU资源(速度略慢) | 高并发场景需硬件加速 | | **证书要求** | 无需证书 | 需向CA机构购买/申请数字证书(通常需费用) | 免费证书如Let's Encrypt逐渐普及 | #### 三、工作原理差异 **HTTP 流程** ```mermaid graph LR A[浏览器] -- 明文请求 --> B[服务器] B -- 明文响应 --> A ``` **HTTPS 流程** ```mermaid graph LR A[浏览器] -- 1.协商加密算法 --> B[服务器] B -- 2.发送CA证书 --> A A -- 3.验证证书 --> C[CA机构] A -- 4.生成会话密钥 --> B B -- 5.加密数据传输 --> A ``` > 关键步骤:TLS握手建立安全通道 → 对称加密传输数据 → 完整性校验[^2] #### 四、应用场景对比 - **HTTP适用场景** 内部网络、信息公示类网站(如新闻页)、无需敏感交互的系统。 - **HTTPS强制场景** 登录认证、支付交易、用户隐私数据(医疗/金融)、现代浏览器标记非HTTPS为"不安全"。 > **技术趋势**:全球超90%的网页加载已使用HTTPS(Google透明度报告),HTTP/2HTTP/3协议仅支持HTTPS加密传输[^2]。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值