1.为什么出现HTTPS
解决HTTP传输数据时没有任何保密性
2.HTTPS简介
HTTPS基于HTTP协议，通过SSL或TLS（可以看作SSL3.0）提供加密处理数据、验证对方身份以及数据完整性保护，是HTTP协议的安全版。
三个特点如下：
- 内容加密：采用混合加密技术，中间者无法直接查看明文内容
- 验证身份：通过证书认证客户端访问的是自己的服务器
- 保护数据完整性：防止传输的内容被中间人冒充或者篡改
3..HTTPS的主要作用
（1）对数据进行加密，并建立一个信息安全通道，来保证传输过程中的数据安全;
（2）对网站服务器进行真实身份认证。
4.为什么出现HTTPS
HTTP存在的问题
- 通信使用明文（不加密），内容可能被窃听
- 无法证明报文的完整性，所以可能遭篡改
- 不验证通信方的身份，因此有可能遭遇伪装
5.HTTPS如何解决HTTP上述问题?
HTTPS并非是应用层的一种新协议。只是HTTP通信接口部分用SSL和TLS协议代替而已。通常，HTTP直接和TCP通信。当使用SSL时，则演变成先和SSL通信，再由SSL和TCP通信了。
1.解决内容可能被窃听的问题——加密
2.解决报文可能遭篡改问题——数字签名
3.解决通信方身份可能被伪装的问题——数字证书
6.HTTPS工作流程
image.png
工作流程分为8个步骤：
- Client发起一个HTTPS（比如https://juejin.im/user/4283353031252967）的请求，根据RFC2818的规定，Client知道需要连接Server的443（默认）端口。
- Server把事先配置好的公钥证书（public key certificate）返回给客户端。
- Client验证公钥证书：比如是否在有效期内，证书的用途是不是匹配Client请求的站点，是不是在CRL吊销列表里面，它的上一级证书是否有效，这是一个递归的过程，直到验证到根证书（操作系统内置的Root证书或者Client内置的Root证书）。如果验证通过则继续，不通过则显示警告信息。
- Client使用伪随机数生成器生成加密所使用的对称密钥，然后用证书的公钥加密这个对称密钥，发给Server。
- Server使用自己的私钥（private key）解密这个消息，得到对称密钥。至此，Client和Server双方都持有了相同的对称密钥。
- Server使用对称密钥加密“明文内容A”，发送给Client。
- Client使用对称密钥解密响应的密文，得到“明文内容A”。
- Client再次发起HTTPS的请求，使用对称密钥加密请求的“明文内容B”，然后Server使用对称密钥解密密文，得到“明文内容B”。
7.HTTPS和HTTP的主要区别
有四点
- HTTPS需要用到SSL证书，而HTTP不用;HTTPS协议需要到CA（证书颁发机构）申请证书，一般免费证书很少，需要交费。
- HTTP协议运行在TCP之上，HTTP 是明文传输协议，HTTPS运行在SSL/TLS之上，SSL/TLS运行在TCP之上，所有传输的内容都经过加密的。
HTTPS 协议是由 SSL+HTTP 协议构建的可进行加密传输、身份认证的网络协议，比 HTTP 协议安全。 - HTTPS标准端口443，HTTP标准端口80;
- HTTPS基于传输层，HTTP基于应用层;
- HTTPS在浏览器显示绿色安全锁，HTTP没有显示;
8.为什么不是所有网站都用HTTPS?
- 付费，选择，购买，部署，费时费力
2.HTTPS普遍认为性能消耗要大于HTTP，因为与纯文本通信相比，加密通信会消耗更多的CPU及内存资源。
