web安全的HTTPS

web安全的HTTPS

1. HTTP的不足
   1>通信使用不加密的明文,内容可能会被窃听
   2>不验证通信方的身份,因此可能遭到伪装
   3>无法验证报文的完整性,所以有可能已被篡改.

2. 改进的措施
   1>通过加密处理防止被窃听.可以通过SSL(Secure Socket Layer,安全套接层 )或TLS(Transport Layer Security,安全传输协议),进行HTTP通信内容的加密.
   2>HTTP+加密+认证+完整性保护=HTTPS,在HTTP中如果使用未加密的明文,在通信中就极有可能受到窃听.在HTTP中加入加密处理和认证的机制,就可以解决这个问题.这个过程称为HTTPS

3. 具体分析
   1>HTTPS只是在通信接口部分用SSL和TLS协议代替了而已.它一般采用TCP协议,当使用SSL时,先变为和SSL通信,然后再由SSL和TCP同.
   2>SSL一般会采用公开秘钥加密处理方式,由数字证书认证机构(CA)和相关机关颁发公开的秘钥证书.通过公开秘钥加密,在服务器处,利用服务器的私钥进行解密处理

4. 使用问题
   1>虽然HTTPS安全性很可靠,但是不能一直使用HTTPS,和纯文本比起来,加密的通信会消耗更多的CPU和内存的资源.如果每次通信都加密,那么会消耗很多的资源.
   2>当访问很大量的网站时,使用加密处理,会承担很大的负载.所以,在加密时,应节约资源,对于需要加密的部分予以加密处理.
   3>要进行HTTPS通信,证书必不可少,而使用证书必须向认证机构(CA)购买,证书会有一定的价格,对于不划算的服务和个人网站,可能只会采取HTTP通信