https通信原理是：https是“http over ssl/tls”，https相比http多了一層“ssl/tls”，https在傳輸數(shù)據(jù)之前需要客戶端與服務(wù)端之間進(jìn)行一次握手，在握手過(guò)程中將確立雙方加密傳輸數(shù)據(jù)的密碼信息。
簡(jiǎn)介：
http 協(xié)議（hypertext transfer protocol，超文本傳輸協(xié)議）：是客戶端瀏覽器或其他程序與web服務(wù)器之間的應(yīng)用層通信協(xié)議 。https（全稱：hypertext transfer protocol over secure socket layer），可以理解為http ssl/tls， 即 http 下加入 ssl 層，https 的安全基礎(chǔ)是 ssl，因此加密的詳細(xì)內(nèi)容就需要 ssl，用于安全的 http 數(shù)據(jù)傳輸。
https和http的區(qū)別：
a. https協(xié)議需要到ca申請(qǐng)證書，一般免費(fèi)證書很少，需要交費(fèi)。
b. http是超文本傳輸協(xié)議，信息是明文傳輸；https 則是具有安全性的ssl加密傳輸協(xié)議。
c. http和https使用的是完全不同的連接方式，用的端口也不一樣，前者是80，后者是443。
d. http的連接很簡(jiǎn)單，是無(wú)狀態(tài)的；https協(xié)議是由ssl http協(xié)議構(gòu)建的可進(jìn)行加密傳輸、身份認(rèn)證的網(wǎng)絡(luò)協(xié)議，比http協(xié)議安全。
https的作用
它的主要作用可以分為兩種：一種是建立一個(gè)信息安全通道，來(lái)保證數(shù)據(jù)傳輸?shù)陌踩?；另一種就是確認(rèn)網(wǎng)站的真實(shí)性。
a． 一般意義上的https，就是服務(wù)器有一個(gè)證書。主要目的是保證服務(wù)器就是他聲稱的服務(wù)器，這個(gè)跟第一點(diǎn)一樣；服務(wù)端和客戶端之間的所有通訊，都是加密的。
b. 具體講，是客戶端產(chǎn)生一個(gè)對(duì)稱的密鑰，通過(guò)服務(wù)器的證書來(lái)交換密鑰，即一般意義上的握手過(guò)程。這部分會(huì)在下面詳細(xì)介紹。
c. 接下來(lái)所有的信息往來(lái)就都是加密的。第三方即使截獲，也沒(méi)有任何意義，因?yàn)樗麤](méi)有密鑰，當(dāng)然篡改也就沒(méi)有什么意義了。
d．少許對(duì)客戶端有要求的情況下，會(huì)要求客戶端也必須有一個(gè)證書。
為何需要https協(xié)議：
http協(xié)議是沒(méi)有加密的明文傳輸協(xié)議，如果client(app、瀏覽器)采用http傳輸數(shù)據(jù)，則會(huì)泄露傳輸內(nèi)容，可能被中間人劫持，修改傳輸?shù)膬?nèi)容。如下圖所示就是典型的app http通信被運(yùn)營(yíng)商劫持修改，插入廣告：
為了保護(hù)用戶的信息安全、保護(hù)自己的商業(yè)利益，減少攻擊面，我們需要保障通信信道的安全，采用開(kāi)發(fā)方便的https是比較好的方式。
https通信原理
https是http over ssl/tls，http是應(yīng)用層協(xié)議，tcp是傳輸層協(xié)議，在應(yīng)用層和傳輸層之間，增加了一個(gè)安全套接層ssl/tls：
如上圖所示 https 相比 http 多了一層 ssl/tls，ssl/tls層負(fù)責(zé)客戶端和服務(wù)器之間的加解密算法協(xié)商、密鑰交換、通信連接的建立。
https在傳輸數(shù)據(jù)之前需要客戶端（瀏覽器）與服務(wù)端（網(wǎng)站）之間進(jìn)行一次握手，在握手過(guò)程中將確立雙方加密傳輸數(shù)據(jù)的密碼信息。tls/ssl協(xié)議不僅僅是一套加密傳輸?shù)膮f(xié)議，更是一件經(jīng)過(guò)藝術(shù)家精心設(shè)計(jì)的藝術(shù)品，tls/ssl中使用了非對(duì)稱加密，對(duì)稱加密以及hash算法。握手過(guò)程如下：
(1).client_hello
客戶端發(fā)起請(qǐng)求，以明文傳輸請(qǐng)求信息，包含版本信息，加密套件候選列表，壓縮算法候選列表，隨機(jī)數(shù)，擴(kuò)展字段等信息，相關(guān)信息如下：
? 支持的最高tsl協(xié)議版本version，從低到高依次 sslv2 sslv3 tlsv1 tlsv1.1 tlsv1.2，當(dāng)前基本不再使用低于 tlsv1 的版本;
? 客戶端支持的加密套件 cipher suites 列表， 每個(gè)加密套件對(duì)應(yīng)前面 tls 原理中的四個(gè)功能的組合：認(rèn)證算法 au (身份驗(yàn)證)、密鑰交換算法 keyexchange(密鑰協(xié)商)、對(duì)稱加密算法 enc (信息加密)和信息摘要 mac(完整性校驗(yàn));
? 支持的壓縮算法 compression methods 列表，用于后續(xù)的信息壓縮傳輸;
? 隨機(jī)數(shù) random_c，用于后續(xù)的密鑰的生成;
? 擴(kuò)展字段 extensions，支持協(xié)議與算法的相關(guān)參數(shù)以及其它輔助信息等，常見(jiàn)的 sni 就屬于擴(kuò)展字段，后續(xù)單獨(dú)討論該字段作用。
(2).server_hello server_certificate sever_hello_done
? server_hello, 服務(wù)端返回協(xié)商的信息結(jié)果，包括選擇使用的協(xié)議版本 version，選擇的加密套件 cipher suite，選擇的壓縮算法 compression method、隨機(jī)數(shù) random_s 等，其中隨機(jī)數(shù)用于后續(xù)的密鑰協(xié)商;
? server_certificates, 服務(wù)器端配置對(duì)應(yīng)的證書鏈，用于身份驗(yàn)證與密鑰交換;
? server_hello_done，通知客戶端 server_hello 信息發(fā)送結(jié)束;
(3).證書校驗(yàn)
客戶端驗(yàn)證證書的合法性，如果驗(yàn)證通過(guò)才會(huì)進(jìn)行后續(xù)通信，否則根據(jù)錯(cuò)誤情況不同做出提示和操作，合法性驗(yàn)證包括如下：
? [證書鏈]的可信性 trusted certificate path，方法如前文所述;
? 證書是否吊銷 revocation，有兩類方式離線 crl 與在線 ocsp，不同的客戶端行為會(huì)不同;
? 有效期 expiry date，證書是否在有效時(shí)間范圍;
? 域名 domain，核查證書域名是否與當(dāng)前的訪問(wèn)域名匹配，匹配規(guī)則后續(xù)分析;
(4).client_key_exchange change_cipher_spec encrypted_handshake_message
(a) client_key_exchange，合法性驗(yàn)證通過(guò)之后，客戶端計(jì)算產(chǎn)生隨機(jī)數(shù)字 pre-master，并用證書公鑰加密，發(fā)送給服務(wù)器;
(b) 此時(shí)客戶端已經(jīng)獲取全部的計(jì)算協(xié)商密鑰需要的信息：兩個(gè)明文隨機(jī)數(shù) random_c 和 random_s 與自己計(jì)算產(chǎn)生的 pre-master，計(jì)算得到協(xié)商密鑰;
enc_key=fuc(random_c, random_s, pre-master)
(c) change_cipher_spec，客戶端通知服務(wù)器后續(xù)的通信都采用協(xié)商的通信密鑰和加密算法進(jìn)行加密通信;
(d) encrypted_handshake_message，結(jié)合之前所有通信參數(shù)的 hash 值與其它相關(guān)信息生成一段數(shù)據(jù)，采用協(xié)商密鑰 session secret 與算法進(jìn)行加密，然后發(fā)送給服務(wù)器用于數(shù)據(jù)與握手驗(yàn)證;
(5).change_cipher_spec encrypted_handshake_message
(a) 服務(wù)器用私鑰解密加密的pre-master 數(shù)據(jù)，基于之前交換的兩個(gè)明文隨機(jī)數(shù) random_c 和 random_s，計(jì)算得到協(xié)商密鑰:enc_key=fuc(random_c, random_s, pre-master);
(b) 計(jì)算之前所有接收信息的 hash 值，然后解密客戶端發(fā)送的 encrypted_handshake_message，驗(yàn)證數(shù)據(jù)和密鑰正確性;
(c) change_cipher_spec, 驗(yàn)證通過(guò)之后，服務(wù)器同樣發(fā)送 change_cipher_spec 以告知客戶端后續(xù)的通信都采用協(xié)商的密鑰與算法進(jìn)行加密通信;
(d) encrypted_handshake_message, 服務(wù)器也結(jié)合所有當(dāng)前的通信參數(shù)信息生成一段數(shù)據(jù)并采用協(xié)商密鑰enc_key與算法加密并發(fā)送到客戶端;
(6).握手結(jié)束
客戶端計(jì)算所有接收信息的 hash 值，并采用協(xié)商密鑰解密 encrypted_handshake_message，驗(yàn)證服務(wù)器發(fā)送的數(shù)據(jù)和密鑰，驗(yàn)證通過(guò)則握手完成;
(7).加密通信
開(kāi)始使用協(xié)商密鑰與算法進(jìn)行加密通信。時(shí)序圖如下：
驗(yàn)證證書
在（3）證書校驗(yàn)中，客戶端會(huì)對(duì)服務(wù)端發(fā)送過(guò)來(lái)的證書做校驗(yàn)，下面我們具體看下該過(guò)程做了哪些工作
1、驗(yàn)證頒發(fā)者、有效期
2、驗(yàn)證是否在信任列表中
2、驗(yàn)證合法性
驗(yàn)證證書時(shí)，客戶端讀取證書中的相關(guān)的明文信息，采用相同的散列函數(shù)計(jì)算得到信息摘要，然后，利用對(duì)應(yīng)ca的公鑰(從本地取出)解密簽名數(shù)據(jù)，對(duì)比證書的信息摘要，如果一致，則可以確認(rèn)證書的合法性，即公鑰合法;
證書內(nèi)容：
申請(qǐng)者公鑰、申請(qǐng)者的組織信息和個(gè)人信息、簽發(fā)機(jī)構(gòu) ca的信息、有效時(shí)間、證書序列號(hào)等信息的明文，同時(shí)包含一個(gè)簽名;
簽名的產(chǎn)生：使用散列函數(shù)計(jì)算公開(kāi)的明文信息的信息摘要，然后，采用 ca的私鑰對(duì)信息摘要進(jìn)行加密，密文即簽名。
tips;
1、client使用server發(fā)送的公鑰加密數(shù)據(jù)，將加密數(shù)據(jù)發(fā)送給server，server使用私鑰進(jìn)行解密，是為非對(duì)稱加密
2、當(dāng)client、server均掌握了協(xié)商密鑰enc_key后，雙方均用該密鑰進(jìn)行加密、解密，是為對(duì)稱加密
加密算法概述
tls/ssl的功能實(shí)現(xiàn)主要依賴于三類基本算法：散列函數(shù) hash、對(duì)稱加密和非對(duì)稱加密，其利用非對(duì)稱加密實(shí)現(xiàn)身份認(rèn)證和密鑰