（十七）深入浅出TCPIP之HTTP和HTTPS
超文本傳輸協(xié)議HTTP協(xié)議被用于在Web瀏覽器和網(wǎng)站服務(wù)器之間傳遞信息，HTTP協(xié)議以明文方式發(fā)送內(nèi)容，不提供任何方式的數(shù)據(jù)加密，如果攻擊者截取了Web瀏覽器和網(wǎng)站服務(wù)器之間的傳輸報文，就可以直接讀懂其中的信息，因此，HTTP協(xié)議不適合傳輸一些敏感信息，比如：信用卡號、密碼等支付信息。
那么http協(xié)議都有哪些缺點呢
? ? ? ? ? ?通信使用明文，內(nèi)容可能被竊聽(重要密碼泄露)
? ? ? ? ? ?不驗證通信方身份，有可能遭遇偽裝(跨站點請求偽造)
? ? ? ? ? ?無法證明報文的完整性，有可能已遭篡改(運營商劫持)
那有沒有一種方式可以解決此問題呢，有，用https？
https是在http協(xié)議基礎(chǔ)上加入加密處理和認(rèn)證機制以及完整性保護(hù)，即http+加密+認(rèn)證+完整性保護(hù)=https
https并非應(yīng)用層的一種新協(xié)議，只是http通信接口部分用ssl/tls協(xié)議代替而已。通常http直接和tcp通信，當(dāng)使用ssl時則演變成先和ssl通信，再由ssl和tcp通信。
所謂https，其實就是身披ssl協(xié)議這層外殼的http
為了解決HTTP協(xié)議的這一缺陷，需要使用另一種協(xié)議：安全套接字層超文本傳輸協(xié)議HTTPS，為了數(shù)據(jù)傳輸?shù)陌踩?#xff0c;HTTPS在HTTP的基礎(chǔ)上加入了SSL協(xié)議，SSL依靠證書來驗證服務(wù)器的身份，并為瀏覽器和服務(wù)器之間的通信加密。
HTTP和HTTPS的基本概念
HTTP：是互聯(lián)網(wǎng)上應(yīng)用最為廣泛的一種網(wǎng)絡(luò)協(xié)議，是一個客戶端和服務(wù)器端請求和應(yīng)答的標(biāo)準(zhǔn)（TCP），用于從WWW服務(wù)器傳輸超文本到本地瀏覽器的傳輸協(xié)議，它可以使瀏覽器更加高效，使網(wǎng)絡(luò)傳輸減少。
HTTPS：是以安全為目標(biāo)的HTTP通道，簡單講是HTTP的安全版，即HTTP下加入SSL層，HTTPS的安全基礎(chǔ)是SSL，因此加密的詳細(xì)內(nèi)容就需要SSL。
HTTPS協(xié)議的主要作用可以分為兩種：一種是建立一個信息安全通道，來保證數(shù)據(jù)傳輸?shù)陌踩?#xff1b;另一種就是確認(rèn)網(wǎng)站的真實性。
HTTP與HTTPS有什么區(qū)別？
HTTP協(xié)議傳輸?shù)臄?shù)據(jù)都是未加密的，也就是明文的，因此使用HTTP協(xié)議傳輸隱私信息非常不安全，為了保證這些隱私數(shù)據(jù)能加密傳輸，于是網(wǎng)景公司設(shè)計了SSL（Secure Sockets Layer）協(xié)議用于對HTTP協(xié)議傳輸?shù)臄?shù)據(jù)進(jìn)行加密，從而就誕生了HTTPS。簡單來說，HTTPS協(xié)議是由SSL+HTTP協(xié)議構(gòu)建的可進(jìn)行加密傳輸、身份認(rèn)證的網(wǎng)絡(luò)協(xié)議，要比http協(xié)議安全。
HTTPS和HTTP的區(qū)別主要如下：
1、https協(xié)議需要到ca申請證書，一般免費證書較少，因而需要一定費用。
2、http是超文本傳輸協(xié)議，信息是明文傳輸，https則是具有安全性的ssl加密傳輸協(xié)議。
3、http和https使用的是完全不同的連接方式，用的端口也不一樣，前者是80，后者是443。
4、http的連接很簡單，是無狀態(tài)的；HTTPS協(xié)議是由SSL+HTTP協(xié)議構(gòu)建的可進(jìn)行加密傳輸、身份認(rèn)證的網(wǎng)絡(luò)協(xié)議，比http協(xié)議安全。
HTTP和HTTPS的工作原理
HTTP代理IP的工作流程：
1、客戶端將請求發(fā)送給代理服務(wù)器；
2、代理服務(wù)器從Http Header中獲取目標(biāo)的主機地址，將請求發(fā)送給目標(biāo)主機；
3、目標(biāo)主機將響應(yīng)回傳給代理服務(wù)器；
4、代理服務(wù)器將響應(yīng)回傳給客戶端。
HTTPS代理IP的工作流程：
1、客戶端首先發(fā)送HTTP Connect請求給代理服務(wù)器，發(fā)送目標(biāo)主機信息。
2、代理服務(wù)器建立和目標(biāo)主機的tcp鏈接，并向客戶端回應(yīng)Connection Established應(yīng)答。
3、客戶端將請求發(fā)送給代理服務(wù)器，代理服務(wù)器透傳給目標(biāo)主機。
4、目標(biāo)主機將響應(yīng)回給代理服務(wù)器，代理服務(wù)器將響應(yīng)回給客戶端。
通過上面兩種工作流程的對比，我們可以發(fā)現(xiàn)http代理IP和https代理IP在工作流程上的區(qū)別，希望對大家有所幫助。
??
為什么網(wǎng)站要選擇HTTPS?
網(wǎng)站安裝SSL證書，進(jìn)行HTTPS加密協(xié)議的好處：
1）提高網(wǎng)站排名，有利于seo
谷歌已經(jīng)公開聲明兩個網(wǎng)站在搜索結(jié)果方面相同，如果一個網(wǎng)站啟用了SSL，它可能會獲得略高于沒有SSL網(wǎng)站的等級，而且百度也表明對安裝了SSL的網(wǎng)站表示友好。因此，網(wǎng)站上的內(nèi)容中啟用SSL都有明顯的SEO優(yōu)勢。
2）隱私信息加密，防止流量劫持
特別是涉及到隱私信息的網(wǎng)站，互聯(lián)網(wǎng)大型的數(shù)據(jù)泄露的事件頻發(fā)發(fā)生，網(wǎng)站進(jìn)行信息加密勢在必行。
3）瀏覽器受信任
自從各大主流瀏覽器大力支持HTTPS協(xié)議之后，訪問HTTP的網(wǎng)站都會提示“不安全”的警告信息。
4）提升企業(yè)現(xiàn)象
申請高級SSL證書可在瀏覽器地址欄顯示企業(yè)組織的名稱，有利于企業(yè)的品牌宣傳，有利于用戶識別釣魚網(wǎng)站。高級SSL證書的頒發(fā)CA機構(gòu)會進(jìn)行企業(yè)的信息審核，驗證企業(yè)的真實身份。
HTTPS的優(yōu)點
盡管HTTPS并非絕對安全，掌握根證書的機構(gòu)、掌握加密算法的組織同樣可以進(jìn)行中間人形式的攻擊，但HTTPS仍是現(xiàn)行架構(gòu)下最安全的解決方案，主要有以下幾個好處：
（1）使用HTTPS協(xié)議可認(rèn)證用戶和服務(wù)器，確保數(shù)據(jù)發(fā)送到正確的客戶機和服務(wù)器；
（2）HTTPS協(xié)議是由SSL+HTTP協(xié)議構(gòu)建的可進(jìn)行加密傳輸、身份認(rèn)證的網(wǎng)絡(luò)協(xié)議，要比http協(xié)議安全，可防止數(shù)據(jù)在傳輸過程中不被竊取、改變，確保數(shù)據(jù)的完整性。
（3）HTTPS是現(xiàn)行架構(gòu)下最安全的解決方案，雖然不是絕對安全，但它大幅增加了中間人攻擊的成本。
（4）谷歌曾在2014年8月份調(diào)整搜索引擎算法，并稱“比起同等HTTP網(wǎng)站，采用HTTPS加密的網(wǎng)站在搜索結(jié)果中的排名將會更高”。
HTTPS的缺點
雖然說HTTPS有很大的優(yōu)勢，但其相對來說，還是存在不足之處的：
（1）HTTPS協(xié)議握手階段比較費時，會使頁面的加載時間延長近50%，增加10%到20%的耗電；
（2）HTTPS連接緩存不如HTTP高效，會增加數(shù)據(jù)開銷和功耗，甚至已有的安全措施也會因此而受到影響；
（3）SSL證書需要錢，功能越強大的證書費用越高，個人網(wǎng)站、小網(wǎng)站沒有必要一般不會用。
? ?（4）SSL證書通常需要綁定IP，不能在同一IP上綁定多個域名，IPv4資源不可能支撐這個消耗。
（5）HTTPS協(xié)議的加密范圍也比較有限，在黑客攻擊、拒絕服務(wù)攻擊、服務(wù)器劫持等方面幾乎起不到什么作用。最關(guān)鍵的，SSL證書的信用鏈體系并不安全，特別是在某些國家可以控制CA根證書的情況下，中間人攻擊一樣可行。
http切換到HTTPS
如果需要將網(wǎng)站從http切換到https到底該如何實現(xiàn)呢？
? ? ?這里需要將頁面中所有的鏈接，例如js，css，圖片等等鏈接都由http改為https。例如：http://www.baidu.com改為https://www.baidu.com
BTW，這里雖然將http切換為了https，還是建議保留http。所以我們在切換的時候可以做http和https的兼容，具體實現(xiàn)方式是，去掉頁面鏈接中的http頭部，這樣可以自動匹配http頭和https頭。例如：將http://www.baidu.com改為//www.baidu.com。然后當(dāng)用戶從http的入口進(jìn)入訪問頁面時，頁面就是http，如果用戶是從https的入口進(jìn)入訪問頁面，頁面即使https的。
?后續(xù)我會提供源碼來專門做一個http服務(wù)器
總結(jié)
以上是生活随笔為你收集整理的（十七）深入浅出TCPIP之HTTP和HTTPS的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： （六）nodejs循序渐进-数据流和文件
- 下一篇： caffe2安装篇（二） ubuntu1