HTTPS如何保证Web安全？（代码示例）

HTTPS（全称：HyperText Transfer Protocol over Secure Socket Layer），是为了保证客户端与服务器之间数据传输的安全。 近两年，Google、Baidu、Facebook 等这样的互联网巨头，不谋而合地开始大力推行 HTTPS， 国内外的大型互联网公司很多也都已经启用了全站 HTTPS，这也是未来互联网发展的趋势，作为前端工程师，了解HTTPS的原理也是必修课之一。
2019年离全网使用HTTPS已经不远了，列举几个各大互联网公司为鼓励使用HTTPS而提出的要求：
1.Google的搜索引擎算法，让采用 HTTPS 的网站在搜索中排名更靠前；
2.苹果要求App Store中的所有应用都必须使用 HTTPS 加密连接；
3.微信小程序也要求必须使用 HTTPS 协议；
4.新一代的 HTTP/2 协议的支持需以 HTTPS 为基础；
5.新版本chrome已将HTTP协议网站标记不安全

隐患：为什么要给HTTP加S？

HTTP协议从诞生至今已经具有相当优秀和方便的一面，然而HTTP并非只有好的一面，事物皆具两面性，它的不足之处也是很明显：

• 通信使用明文传输，内容可能会被窃听

• 不验证通信方的身份，因此有可能遭遇伪装

• 无法证明报文的完整性，所以有可能已经遭到篡改

除此之外，HTTP本身还有很多缺点。而且，还有像某些特定的Web服务器和特定的Web浏览器在实际应用中存在的不足（也可以说成是脆弱性或安全漏洞），另外，用Java和PHP等编程语言开发的Web应用也可能存在安全漏洞。

1. 通信使用明文可能会被窃听

由于HTTP本身不具备加密的功能，所以也无法做到对通信整体（使用HTTP协议通信的请求和响应的内容）进行加密。所以，HTTP报文使用明文方式发送。如果要问为什么通信时不加密是一个缺点，这是因为，按TCP/IP协议族的工作机制，通信内容在所有的通信线路上都有可能遭到窥视。
所谓互联网，是由能连通到全世界的网络组成，无论世界哪个角落的服务器在和客户端通信时，在此通信线路上的某些网络设备、光缆、计算机等都不可能是个人的私有物，所以不排除某个环节中会遭到恶意窥视行为。
即使已经过加密处理的通信，也会被窥视到通信内容，这点和未加密的通信是相同的。只是说如果通信经过加密，就有可能让人无法破解报文信息的含义，但加密处理后的报文信息本身还是会被看到。
窃听相同段上的通信并非难事。只需要收集在互联网上流动的数据包就行。对于收集来的数据包的解析工作，可以交给那些抓包或嗅探工具。

2. 不验证通信方的身份就可能遭到伪装

HTTP协议中的请求和相应不会对通信方进行确认。也就是说存在“服务器是否就是发送请求中URI真正指定的主机，返回的响应是否真的返回到实际提出请求的客户端”等类似问题。
在HTTP协议通信时，由于不存在确认通信方的处理步骤，任何人都可以发送请求，同时，服务器只要接收到请求，只要发送端的IP地址和端口号没有被Web服务器设定限制访问，不管对方是谁都会返回一个响应，因此会存在以下各种隐患：

• 无法确定请求发送至目标的Web服务器是否是按真实意图返回响应的那台服务器，有可能是已伪装的Web服务器。

• 无法确定响应返回到的客户端是否是按真实意图接收响应的那个客户端，有可能是已伪装的客户端。

• 无法确定正在通信的对方是否具备访问权限。因为某些Web服务器上保存着重要的信息，指向发给特定用户通信的权限。

• 无法判定请求是来自何方、出自谁手。

• 及时是无意义的请求也会照单全收。无法阻止海量请求下的DoS攻击（Denial of Service,拒绝服务攻击）。

3. 无法证明报文的完整性，可能已遭到篡改

所谓完整性是指信息的准确度。若无法证明其完整性，通常也就意味着无法判断信息是否准确。
因此，在请求或响应送出之后知道对方接收之前的这段时间内，即使请求或相应的内容遭到篡改，也没有办法获悉。
换句话说，没有任何办法确认，发出的请求、响应和接收到的请求、响应是前后相同的。文件内容在传输中可能已经被村改为其他内容，像这样，请求或响应在传输途中遭攻击者拦截并篡改内容的攻击成为中间人攻击（Man-in-the-Middle attack,MITM)。

解决：HTTP + 加密 + 认证 + 完整性保护 = HTTPS

上面提了那么多HTTP的缺点自然在HTTPS中我们得解决它，下面我们来看看HTTPS是如何保证我们数据传输安全的。

1. HTTPS其实是身披SSL外壳的HTTP

HTTPS并非是应用层的一种新协议。知识HTTP通信接口部分用SSL(Secure Socket Layer，安全套阶层)和TLS（Transport Layer Security，安全传输层协议)协议代替而已。
通常,HTTP直接和TCP通信。当使用SSL时，则变成先和SSL通信，再由SSL和TCP通信了。简单来说，与SSL组合使用的HTTP被称为HTTPS（HTTP Secure,超文本传输安全协议）或HTTP over SSL。
采用了SSL后，HTTP就拥有了HTTPS的加密、证书和完整性保护这些功能。SSL是独立于HTTP的协议，所以不光是HTTP协议，其它运行在应用层的SMTP和Telnet等协议均可配合SSL协议使用。可以说SSL是当今世界上应用最为广泛的网络安全技术。

对于客户端：

当其生成了Pre-master secret之后，会结合原来的A、B随机数，用DH算法计算出一个master secret，紧接着根据这个master secret推导出hash secret和session secret。

对于服务端：

当其解密获得了Pre-master secret之后，会结合原来的A、B随机数，用DH算法计算出一个master secret，紧接着根据这个master secret推导出hash secret和session secret。

在客户端和服务端的master secret是依据三个随机数推导出来的，它是不会在网络上传输的，只有双方知道，不会有第三者知道。同时，客户端推导出来的session secret和hash secret与服务端也是完全一样的。

那么现在双方如果开始使用对称算法加密来进行通讯，使用哪个作为共享的密钥呢？过程是这样子的：

双方使用对称加密算法进行加密，用hash secret对HTTP报文做一次运算生成一个MAC，附在HTTP报文的后面，然后用session-secret加密所有数据（HTTP+MAC），然后发送。

接收方则先用session-secret解密数据，然后得到HTTP+MAC，再用相同的算法计算出自己的MAC，如果两个MAC相等，证明数据没有被篡改。

至此，整个过程介绍完毕。

以上就是HTTPS如何保证Web安全？（代码示例）的详细内容，更多请关注 第一PHP社区 其它相关文章！