Https简介及优缺点

Https简介及优缺点

HTTP是一种构建在SSL和TLS上的HTTP协议。是一种通过计算机网络进行安全通信的传输协议HTTPS是HTTP的安全版本，是经由HTTP进行通信，但是利用ssl和TLS来加密数据包，为网络通信提供来源认证、数据加密和报文完整性检测，保障通信的保密性和可靠性。HTTPS协议的URL都是以HTTPS：//开头，在访问某个web页面的时候，通过443端口进行连接。
HTTP的传输协议不安全性在于：数据以明文的方式传递，容易被窃听，接收到的报文无法证明是发送时的报文，不能保证完整性，因此有被修改的可能。
HTTPS的主要作用是在不安全的网络上创建一个安全信道，并可在使用适当的加密包和服务器证书可被验证且可被信任时，对窃听和中间人攻击提供合理的防护。
HTTPS的信任基于预先安装在操作系统中的证书颁发机构（CA）。因此，到一个网站的HTTPS连接仅在这些情况下可被信任：
浏览器正确地实现了HTTPS且操作系统中安装了正确且受信任的证书颁发机构；
证书颁发机构仅信任合法的网站；
被访问的网站提供了一个有效的证书，也就是说它是一个由操作系统信任的证书颁发机构签发的（大部分浏览器会对无效的证书发出警告）；
该证书正确地验证了被访问的网站（例如，访问https://example.com时收到了签发给example.com而不是其它域名的证书）；
此协议的加密层（SSL/TLS）能够有效地提供认证和高强度的加密。
HTTPS不应与在 RFC 2660 中定义的安全超文本传输协议（S-HTTP）相混淆。
安全通信机制:
客户端和服务器将通过好几个步骤进行建立安全连接，让后开始通信，精简过程为：
客户端发送client hello报文开始ssl通信，报文中还包含协议版本号、加密算法等信息。
服务器发送数字证书，数字证书中包含服务器中的公开的秘钥，客户端解开并且验证数字证书，验证通过后，生成一个随机密码串，再用收到的服务器的公钥进行解密，发给服务器。
客户端再次发送change clipher 报文，提示服务器在此条报文之后，采用刚刚生成的随机密码串进行数据加密。服务器也发送change cliper spec报文。
ssl链接建立成功，接下来就是正常的传输数据。
https的缺点：
现在很多的网站还没有使用https，https在使用过程中，需要支付不菲的ssl证书的费用，只要开启https就要申购ssl证书，每年都需要支付高额的费用。
https在建立连接的时候会大量暂用资源，通信的两端都需要进行加密和解密，会消耗大量的cpu、内存等资源，增加了服务器的负载。
https协议需要多次的握手，网络耗时变长。
用https访问页面的时候，页面内的外部资源都需要用到https的请求，包含脚本中的ajax请求。

不过随着近几年网络速度的不断加快和在https上的不断优化，在服务器资源消耗和访问速度上已经优化已经很难让人发觉这些问题了，国内基本上有名气的网站都是使用的上https，特别是电商、金融、银行，和各大网站的登录页面、支付页面。这样即使服务器出现被黑的情况，在没有密码的情况下，依旧读取不到任何的消息。很多大型公司的内部电子邮件都采用的有加密方式，这样也就不用担心，邮件被劫持。