HTTPS请求流程（证书的签名及验证过程）

    在如今互联网高速发展，技术人员技术日益精深的情况下，网络安全越来越受到大家的重视，而HTTPS作为网络安全中比较基础的部分， 绝大部分的客户端都在使用，那么你真的清楚HTTPS的加密原理吗？下面就让我用简单易懂的方式了解下。

首先我们先思考下面几个问题：

1、客户端如何进行签名的？

2、签名的验证是在哪，服务端？客户端？

3、如何验证签名？

首先我们说下使用HTTPS的作用，主要有三个：

• 验证服务器或客户端的身份合法
• 报文加密
• 验证数据完整性

采用HTTPS可以有效抵御中间人攻击、报文监听攻击和报文篡改攻击。不过，针对报文监听这种攻击的抵御不是绝对的，HTTPS是基于TLS的HTTP，可以将HTTP请求的URL path、request header、request body等内容加密，由于转发需要提供IP及端口信息，所以监听者还是能够监听到目的IP（甚至域名）、目的端口、源IP、源端口、报文大小、通信时间等信息的。

HTTPS为了兼顾安全与效率，同时使用了对称加密和非对称加密。数据是被对称加密传输的，对称加密过程需要客户端的一个密钥，为了确保能把该密钥安全传输到服务器端，采用非对称加密对该密钥进行加密传输，总的来说，对数据进行对称加密，对称加密所要使用的密钥通过非对称加密传输。

HTTPS在传输的过程中会涉及到三个密钥：

1、服务器端的公钥和私钥，用来进行非对称加密

2、客户端生成的随机密钥，用来进行对称加密

一个HTTPS请求实际上包含了两次HTTP传输，可以细分为7步。

1、客户端向服务器发起HTTPS请求，携带客户端SSL/TLS信息，服务器端有一个密钥对，即公钥和私钥，是用来进行非对称加密使用的，服务器端保存着私钥，将公钥下发到客户端。

2、客户端收到服务器端的公钥之后，会对公钥进行检查，验证其合法性，如果发现发现公钥有问题，那么HTTPS传输就无法继续。公钥的验证：在设备中存储了全球公认的知名CA的公钥。当客户端接收到服务器的数字证书的