HTTP和HTTPS是什么？有什么区别？

HTTP 和 HTTPS是什么？

（1）HTTP：HTTP协议是超文本传输协议的缩写，英文是Hyper Text Transfer Protocol。它是从WEB服务器传输超文本标记语言(HTML)到本地浏览器的传送协议。且HTTP是一个无状态协议。默认端口是80
（2）HTTPS：HTTPS是以安全为目标的HTTP通道，简单讲就是HTTP的加强安全版本。它在HTTP的基础上加上了SSL/TLS协议用作加密和安全认证，建立一个信息安全通道。默认端口是443

HTTP 的最大弊端——不安全

HTTP 之所以被 HTTPS 取代，最大的原因就是不安全，至于为什么不安全，看了下面这张图就一目了然了。

HTTP 在传输数据的过程中，所有的数据都是明文传输，没有安全性可言，特别是一些敏感数据，例如：用户密码和信用卡信息等，一旦被第三方获取，后果不堪设想。这里可能有人会说，我在前端页面对敏感数据进行加密不就行了，比如MD5加密。这么想就太简单了。首先 MD5 并不是加密算法，其全称是 Message Digest Algorithm MD5，意为信息摘要算法，是一种不可逆的哈希算法，也就是说经过前端 MD5 处理过的数据在服务器端是无法复原的。这里以密码举例，前端把用户密码通过 MD5 进行处理，并把得到的哈希值发送给服务器，服务器由于无法复原密码，就会直接用这个哈希值处理用户请求。所以第三方在获取这个哈希值后，可以绕过前端登录页面直接访问服务器，造成安全问题。另外，MD5 算法本身的安全性也存在缺陷，这里就不展开谈了。

总之 MD5，SHA-1 之类的哈希算法并不能让 HTTP 变得更安全。要想让 HTTP 更安全，只能使用真正的加密算法，因为加密算法可以用密钥加密或还原数据，只要确保密钥不被第三方获取，那就能确保数据传输的安全了。而这正是 HTTPS 的解决方案，那下面就来了解一下加密算法吧。

HTTPS 建立安全传输

与 HTTP 不同的是，HTTPS 在建立完 TCP 连接之后，客户端和服务器会进行一次SSL握手，对加密参数进行沟通，并交换秘钥。握手完成之后，SSL 初始化就完成了，客户端就可以将请求报文发送给安全层了。在将这些报文发送给 TCP 之前，要先对其进行加密。

SSL握手需要完成以下工作：

• 交换协议版本号
• 选择一个两端都了解的密码
• 对两端的身份进行认证
• 生成临时的会话秘钥，以便加密信道

HTTPS 加密

HTTPS 解决数据传输安全问题的方案就是使用加密算法，具体来说是混合加密算法，也就是对称加密和非对称加密的混合使用，这里先了解一下这两种加密算法的区别和优缺点。

对称加密

对称加密，顾名思义就是加密和解密都是使用同一个密钥，常见的对称加密算法有 DES、3DES 和 AES 等，其优缺点如下：

• 优点：算法公开、计算量小、加密速度快、加密效率高，适合加密比较大的数据。
• 缺点：

1. 交易双方需要使用相同的密钥，也就无法避免密钥的传输，而密钥在传输过程中无法保证不被截获，因此对称加密的安全性得不到保证。
2. 每对用户每次使用对称加密算法时，都需要使用其他人不知道的唯一密钥，这会使得发收信双方所拥有的钥匙数量急剧增长，密钥管理成为双方的负担。对称加密算法在分布式网络系统上使用较为困难，主要是因为密钥管理困难，使用成本较高。

如果直接将对称加密算法用在 HTTP 中，会是下面的效果：

从图中可以看出，被加密的数据在传输过程中是无规则的乱码，即便被第三方截获，在没有密钥的情况下也无法解密数据，也就保证了数据的安全。但是有二个问题，那就是双方不但要使用相同的密钥，而且服务器给每个客户端的密钥都要不相同，因为如果相同的话别人也能破解你的密文，这样就和没有加密一样，因此，就必然要在传输数据之前先由一方把密钥传给另一方，但是在此过程中密钥就很有可能被截获，这样一来加密的数据也会被轻松解密，那如何确保密钥在传输过程中的安全呢？这就要用到非对称加密了。

非对称加密

非对称加密，顾名思义，就是加密和解密需要使用两个不同的密钥：公钥（public key）和私钥（private key）。公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密；如果用私钥对数据进行加密，那么只有用对应的公钥才能解密。非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公钥对外公开；得到该公钥的乙方使用公钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的私钥对加密后的信息进行解密。如果对公钥和私钥不太理解，可以想象成一把钥匙和一个锁头，只是全世界只有你一个人有这把钥匙，你可以把锁头给别人，别人可以用这个锁把重要的东西锁起来，然后发给你，因为只有你一个人有这把钥匙，所以只有你才能看到被这把锁锁起来的东西。

• 优点：算法公开，加密和解密使用不同的钥匙，私钥不用通过网络传输，安全性很高。
• 缺点：计算量比较大，加密和解密速度相比对称加密要慢很多。

由于非对称加密的强安全性，可以用它完美解决对称加密的密钥泄露问题，效果图如下：

在上述过程中，客户端在拿到服务器的公钥后，会生成一个随机码 (用 KEY 表示，这个 KEY 就是后续双方用于对称加密的密钥)，然后客户端使用公钥把 KEY 加密后再发送给服务器，服务器使用私钥将其解密，这样双方就有了同一个密钥 KEY，然后双方再使用 KEY 进行对称加密交互数据。在非对称加密传输 KEY 的过程中，即便第三方获取了公钥和加密后的 KEY，在没有私钥的情况下也无法破解 KEY (私钥存在服务器，泄露风险极小)，也就保证了接下来对称加密的数据安全。

但是非对称加密依然会出现问题，例如，服务端在发送公钥的途中，密钥被中间人掉包了，客户端无法判断该公钥是真的公钥还是假的公钥，因此，服务端不能直接将公钥发送给客户端，而是要使用第三方机构的私钥对我们的公钥进行加密，然后客户端在通过第三方机构的公钥进行解密，这时候就需要使用HTTPS了，而上面这个流程图正是 HTTPS 的雏形，HTTPS 正好综合了这两种加密算法的优点，不仅保证了通信安全，还保证了数据传输效率。

HTTPS 原理详解

可见HTTPS 并非独立的通信协议，而是对 HTTP 的扩展，保证了通信安全，二者关系如下：



HTTPS是位于安全层之上的HTTP，这个安全层位于TCP之上，HTTPS没有将未加密的HTTP报文发送给TCP，并通过世界范围内的因特网进行传输，它在将HTTP报文发送给TCP之前，先将其发送给了一个安全层，对其进行加密，简单的说 HTTPS = HTTP + SSL / TLS。大部分困难的编码及解码工作都是在SSL库中完成的，所以Web客户端和服务器在使用安全HTTP时无需过多地修改其协议处理逻辑。

接下来就是最重要的 HTTPS 原理解析了，老规矩先上图。

看上去眼花缭乱，不要怕，且听我细细道来。HTTPS 的整个通信过程可以分为两大阶段：证书验证和数据传输阶段，数据传输阶段又可以分为非对称加密和对称加密两个阶段。具体流程按图中的序号讲解。

1. 客户端请求 HTTPS 网址，然后连接到 server 的 443 端口 (HTTPS 默认端口，类似于 HTTP 的80端口)。
2. 采用 HTTPS 协议的服务器必须要有一套数字 CA (Certification Authority)证书，证书是需要申请的，并由专门的数字证书认证机构(CA)通过非常严格的审核之后颁发的电子证书 （当然了是要钱的，安全级别越高价格越贵)。颁发证书的同时会产生一个私钥和公钥。私钥由服务端自己保存，不可泄漏。公钥则是附带在证书的信息中，可以公开的。
   这样又会出现刚才非对称加密的问题，如果一个中间人在同一家机构也申请了证书，那么他就能在中间对证书进行掉包
   
   这时候我们就需要一个能辨别同一家机构申请的不同证书的方法，因此，证书本身也附带一个证书编码，这个编码用来验证证书的完整性和真实性，可以防止证书被篡改。且证书本身会告诉客户端如何验证证书编码的真伪，也就是当客户端拿到证书后，需要根据证书上的方法计算出一个证书编码，如果证书编码和证书上的一样，说明该证书是真实的。
   
   但是为了防止证书编码又被掉包，所以需要使用第三方（CA）进行加密。
   
   在证书的制作过程中，第三方机构通过私钥加密证书编号，同时也会写上如果获取证书编号
   
   客户端在拿到证书后，开始对证书上的内容进行验证，通过证书上的方法生成一个证书编号，然后再通过计算机中的公钥对证书上加密的证书编号进行解密，两个证书编号进行对比，如果相同则验证通过。
   
   但是问题又来了，计算机中怎么会有解密的公钥呢？其实呢，现实中，浏览器和操作系统都会维护一个权威的第三方机构列表（包括它们的公钥），如果没有这个第三方机构的信息，浏览器就无法确定是否应该信任这个签名颁发机构，它通常会向用户显示一个对话框，看看是否相信这个签名发布者。因此客户端在接收到的证书后，会根据证书中会写的颁发机构在本地找相应的公钥。
3. 服务器响应客户端请求，将证书传递给客户端，证书包含公钥和大量其他信息，比如证书颁发机构信息，公司信息和证书有效期等。Chrome 浏览器点击地址栏的锁标志再点击证书就可以看到证书详细信息。
   
4. 客户端解析证书并对其进行验证。如果证书不是可信机构颁布，或者证书中的域名与实际域名不一致，或者证书已经过期，就会向访问者显示一个警告，由其选择是否还要继续通信。就像下面这样：
   
   如果证书没有问题，客户端就会从服务器证书中取出服务器的公钥A。然后客户端还会生成一个随机码 KEY，并使用公钥A将其加密。
5. 客户端把加密后的随机码 KEY 发送给服务器，作为后面对称加密的密钥。
6. 服务器在收到随机码 KEY 之后会使用私钥B将其解密。经过以上这些步骤，客户端和服务器终于建立了安全连接，完美解决了对称加密的密钥泄露问题，接下来就可以用对称加密愉快地进行通信了。
7. 服务器使用密钥 (随机码 KEY)对数据进行对称加密并发送给客户端，客户端使用相同的密钥 (随机码 KEY)解密数据。
8. 双方使用对称加密愉快地传输所有数据。

好了，以上就是 HTTPS 的原理详解了，如此精美的图搭配这么详细的过程解析，你再搞不懂就说不过去了吧哈哈。

总结

HTTPS 和 HTTP 的区别：

• 数据保护：最最重要的区别就是安全性，HTTP 明文传输，不对数据进行加密安全性较差。HTTPS (HTTP + SSL / TLS)的数据传输过程是加密的，安全性较好。
• 域名合法性：使用 HTTPS 协议需要申请 CA 证书，一般免费证书较少，因而需要一定费用。证书颁发机构如：Symantec、Comodo、DigiCert 和 GlobalSign 等。
• 速度：HTTP 页面响应速度比 HTTPS 快，这个很好理解，由于加了一层安全层，建立连接的过程更复杂，也要交换更多的数据，难免影响速度，要比 HTTP 更耗费服务器资源。
• 端口：HTTPS 和 HTTP 使用的是完全不同的连接方式，用的端口也不一样，前者是 443，后者是 80。
• 搜索排名：HTTPS有益于搜索排名而HTTP没有，谷歌曾在2014年8月份调整搜索引擎算法，并称“比起同等HTTP网站，采用HTTPS加密的网站在搜索结果中的排名将会更高”
• URL前缀：HTTPS为https://，而HTTP则为http://

HTTPS 的缺点：

• 在相同网络环境中，HTTPS 相比 HTTP 无论是响应时间还是耗电量都有大幅度上升。
• HTTPS 的安全是有范围的，在黑客攻击、服务器劫持等情况下几乎起不到作用。
• 在现有的证书机制下，中间人攻击依然有可能发生。
• HTTPS 需要更多的服务器资源，也会导致成本的升高。

参考文章：HTTPS 详解一：附带最精美详尽的 HTTPS 原理图