HTTP、HTTPS、SSL协议以及报文讲解

本文介绍: 3、客户端使用CA的公钥解密证书验证服务端证书的真实性，然后通过证书的摘要算法对证书数据生成摘要，与证书携带的摘要进行对比，来验证书是否被篡改。此时客户端获得证书的公钥。当用户收到响应报文后，将set-cookie中的cookie保存起来，这个就是服务器发给我的身份标识，当用户下一次请求的时候就会将这cookie放进请求字段中发给服务器。SSL双向认证就是多了服务器验证客户端证书的认证（服务器发送自己的证书之后，同时请求客户端的证书，客户端将证书发送给服务器，服务器通过CA进行验证客户端认证）

HTTP/HTTPS介绍

HTTPS访问全过程相关报文（以访问www.baidu.com为例子）

HTTP/HTTPS介绍

HTTP/HTTPS基本信息

HTTP（Hypertext Transfer Protocol）基本概念

HTTP是用于从万维网（www）服务器传输超文本到本地浏览器的超文本传输协议，所有的HTML文件（网页文件）都是遵循这个标准进行传输的

并且HTTP是一种分布式、通用的、无状态的面向应用层的协议（C/S架构，也支持B/S）

HTTP的分布式特性

分布式指的是一个网站上的内容分布到多个服务器上

HTTP的无状态性

web服务器不会针对用户的访问过程做记录

当一个用户访问过该网站后，等下次第二次访问时，服务器不知道该用户曾经访问过

该特性简化了HTTP服务器的设计，使其更容易支持大量并发的HTTP请求

Cookie—帮助HTTP实现有状态

HTTP协议通过在请求/响应报文中写入Cookie信息来识别客户端，将客户端发送的小心进行上下文关联

具体过程如下

Cookie是一种在客户端保持HTTP状态信息的技术，由Web服务器将其携带在响应报文中发送给客户端浏览器，存储在客户端

当用户第一次请求HTTP服务器时，服务器不知道用户的身份；当服务器向其发送HTTP响应时会为其创建一个独特的身份标识数据（也就是Cookie，格式为key=value；并通过在本地创建一个MAP结构来存储Cookie），然后将其放入set-cookie字段，随着响应报文一同发给用户

当用户收到响应报文后，将set-cookie中的cookie保存起来，这个就是服务器发给我的身份标识，当用户下一次请求的时候就会将这cookie放进请求字段中发给服务器

当服务器收到请求后发现有cookie字段，查询是来自哪一个客户端的请求，与服务器中的cookie对比识别出用户身份，提供个性化服务

HTTP的连接方式

非持久性连接：该连接不是持久存在的，一个连接只进行一次数据交互（即：每次传输数据时建立此连接，数据传输完毕后就断开连接）

持久性连接：连接是持久存在的，在一个连接中进行多次的数据交互

HTTPS基本概念

为什么提出HTTPS

由于HTTP是不加密的，在公网上明文传输，缺少保密性

为了保证隐私数据能够加密传输，所以就出现了安全加密的HTTP协议，也就是HTTPS协议

HTTPS就是通过SSL/TLS对HTTP协议进行加密（HTTPS=SSL/TLS+HTTP）

HTTPS和HTTP的区别

HTTPS协议需要使用到数字证书（需要向CA申请）

HTTPS和HTTP端口号不一样；HTTP为TCP 80端口，HTTPS为TCP 443端口

HTTPS能够对传输的信息进行加密，更加安全

URL（Uniform Resource Locator）的概念

URL是统一资源定位符，用来唯一标识万维网中的某一个文档；通过URL，可以直接使用HTTP/HTTPS协议访问到具体的文档

URL由协议、主机、端口号、文件名及路径组成

HTTP请求与应答报文

HTTP请求报文

请求行

Request Method：请求方法，GET和POST是比较常见的请求方法

GET：请求获取Request-URL所标识的资源

POST：在Request-URL所标识的资源后附加新的数据（上传数据—例如登录-HTTP为明文）

DELETE：请求服务器删除Request-URL所标识的资源

HEAD：请求获取有Request-URL所标识的资源的响应消息报头

OPTIONS：请求查询服务器的性能（或查询与资源相关的选项和需求）

PUT：请求服务器存储一个资源，并用Request-URL作为其标识

TRACE：请求服务器回送收到的请求消息（主要用于测试或诊断）

CONNECT：保留将来使用

Request URL：请求的URL

Request Version：HTTP版本号

请求头部（由关键字和值组成，关键字和值使用”:”分隔，每行一对）

Host：请求的主机名，允许多个域名同处一个IP 地址，即虚拟主机

Connection：连接方式(close 或 keepalive)

User-Agent：携带用户主机的操作系统版本、访问该网站的浏览器信息等

Accept：客户端可识别的响应内容类型列表（星号 “ * ” 用于按范围将类型分组；用 “ */* ” 指示可接受全部类型；用“ type/* ”指示可接受 type 类型的所有子类型;）

Referer：告诉服务器我目前访问的该网页来自哪个页面（referer主要出现在网页之间相互跳转的场景）

Accept-Language：客户端可接受的自然语言

Accept-Encoding：客户端可接受的编码压缩格式

Accept-Charset：可接受的应答的字符集

Cookie：存储于客户端扩展字段，向同一域名的服务端发送属于该域的cookie（记录登录的状态（第一次登录输入账号密码，后续登录就不需要登录了））

HTTP响应报文

状态行

Status Code：状态码

状态码由三位数字组成，第一位数字表示响应的类型，常用的状态码有五大类如下所示

1xx：表示服务器已接收了客户端请求，客户端可继续发送请求;

2xx：表示服务器已成功接收到请求并进行处理;

3xx：表示服务器要求客户端重定向;

4xx：表示客户端的请求有非法内容;

5xx：表示服务器未能正常处理客户端的请求而出现意外错误;

具体常见状态码的值及其描述

200 OK：表示客户端请求成功;

302 Found：表示该资源原本存在，但是已经被临时改变了位置（服务器通常会给浏览器发送Location字段来告诉浏览器改变后的位置）

307 Internal Redirect：内部重定向（与302其实是一致的，唯一的区别在于307状态码不允许浏览器将原本为POST的请求重定向到GET请求上）

400 Bad Request：表示客户端请求有语法错误，不能被服务器所理解

404 Page Not Found：标识客户端请求的资源不存在

首部行（由关键字和值组成，关键字和值使用”:”分隔，每行一对）

Server：告诉浏览器服务器的名称和版本号（如：Apache/2.2.10）（深信服可以通过AF将此字段隐藏—应用隐藏功能）

Content-Type：实体报头域用语指明发送给接收者的消息主体的媒体类型（如：Content-Type:text/html）

SSL协议

SSL协议基本概念

SSL（Secure Socker Layer）安全套接字层，位于应用层和传输层之间的一种协议层，属于Socket层的时间

SSL建立在TCP之上，为应用层协议提供数据封装、压缩、加密等基本功能

并且可以通过互相认证、使用数字签名、加密等实现客户端和服务器之间的安全通信

SSL协议的组成

SSL协议是由SSL记录协议层和SSL握手协议层两层组成的一个协议簇

SSL记录协议层

该层是为高层协议提供基本的安全服务，实现对数据的分块、加解密、压缩与解压缩、完整性校验以及高层协议的封装

SSL记录协议针对HTTP协议进行了特别的设计，使得HTTP能够在SSL上运行

SSL握手协议层

SSL握手协议层包含SSL握手协议（SSL HandShake Protocol）、SSL密码变更协议（SSL Change Cipher Spec Protocol）、SSL报警协议（SSL Alert Protocol）

SSL密码更改协议：更新用于当前连接的密码组

SSL报警协议：为通信的双方传递SSL的相关警告

SSL握手协议：允许通信实体在交换应用数据之前协商密钥的算法，并对客户端进行认证

SSL握手的相关报文内容字段在（HTTPS访问全过程讲解）

SSL单向认证

握手步骤简单讲解

客户端发送client hello（包含支持的协议版本、加密算法和随机数A）
服务返回Hello（公钥证书、随机数B）
客户端使用CA验证服务器证书，确认无误后，生成随机数c，用公钥加密发给服务器（客户端通过a、b、c生成对称秘钥进行数加密）
服务用私钥解密得到c，通过a、b、c生成对称秘钥进行数据加密
最后双方进行数据加密

握手步骤详细讲解

1、交互Hello报文（客户端生成随机数R1，服务端生成随机数R2相互交换），协商配置信息（SSL版本、加密算法等）

2、服务端向客户端发送数字证书，并通过加密算法生成一个Server Params（椭圆曲线的公钥），该公钥通过服务端的私钥签名认证—（当进行双向验证时则需要客户端也向服务器发送证书）

3、客户端使用CA的公钥解密证书验证服务端证书的真实性，然后通过证书的摘要算法对证书数据生成摘要，与证书携带的摘要进行对比，来验证书是否被篡改。此时客户端获得证书的公钥。并通过该服务端公钥解密服务端发来的Server Params

4、此时客户端就有了R1、R2和Server Params三个参数，这时客户端也会通过双方协商的加密算法生成一个Client Params（椭圆曲线的公钥），并通过服务端的公钥加密将其发给服务端；然后将Client Params和Server Params生成一个Pre-Masterkey（也算是一个随机数）；最后客户端又通过R1、R2、Pre-Master生成主秘钥

5、然后服务器端通过私钥解密得到客户端发来的Client Params（然后服务器也会根据R1、R2、Server Params、Client Params先生成Pre-MasterKey，再生成主秘钥）；由于黑客破解不了客户端发送的Client Params，因此无法得到数据密钥

6、最后双方通过主秘钥派生出的客户端会话密钥和服务端会话秘钥来加密数据