HTTP 协议是 Hyper Text Transfer Protocol (超文本传输协议)的缩写,是用于从万维网(WWW:World Wide Web )服务器传输超文本到本地浏览器的传送协议;HTTP 是一个基于 TCP/IP 通信协议来传递数据(HTML 文件, 图片文件, 查询结果等)。
HTTPS:是以安全为目标的 HTTP 通道,通俗的说就是 HTTP 的安全版,即 HTTP 下加入 SSL 层,HTTPS 的安全基础是 SSL,因此加密的详细内容就需要 SSL。
HTTPS 协议的主要作用可以分为两种:一种是建立一个信息安全通道,来保证数据传输的安全;另一种就是确认网站的真实性。
HTTP 工作原理
HTTP 协议工作于客户端-服务端架构上。浏览器作为 HTTP 客户端通过 URL 向 HTTP 服务端即 WEB 服务器发送所有请求。
Web 服务器有:Apache 服务器,IIS 服务器(Internet Information Services)等。
Web 服务器根据接收到的请求后,向客户端发送响应信息。
HTTP 默认端口号为 80,但是你也可以改为 8080 或者其他端口。
HTTP 三点注意事项:
- HTTP 是无连接:无连接的含义是限制每次连接只处理一个请求。服务器处理完客户的请求,并收到客户的应答后,即断开连接。采用这种方式可以节省传输时间。
- HTTP 是媒体独立的:这意味着,只要客户端和服务器知道如何处理的数据内容,任何类型的数据都可以通过 HTTP 发送。客户端以及服务器指定使用适合的 MIME-type 内容类型。
- HTTP 是无状态:HTTP 协议是无状态协议。无状态是指协议对于事务处理没有记忆能力。缺少状态意味着如果后续处理需要前面的信息,则它必须重传,这样可能导致每次连接传送的数据量增大。另一方面,在服务器不需要先前信息时它的应答就较快。
HTTPS 工作原理
我们都知道 HTTPS 能够加密信息,以免敏感信息被第三方获取,所以很多银行网站或电子邮箱等等安全级别较高的服务都会采用 HTTPS 协议。
客户端在使用 HTTPS 方式与 Web 服务器通信时有以下几个步骤,如下:
- 客户使用 https 的 URL 访问 Web 服务器,要求与 Web 服务器建立 SSL 连接。
- Web 服务器收到客户端请求后,会将网站的证书信息(证书中包含公钥)传送一份给客户端。
- 客户端的浏览器与 Web 服务器开始协商 SSL 连接的安全等级,也就是信息加密的等级。
- 客户端的浏览器根据双方同意的安全等级,建立会话密钥,然后利用网站的公钥将会话密钥加密,并传送给网站。
- Web 服务器利用自己的私钥解密出会话密钥。
- Web 服务器利用会话密钥加密与客户端之间的通信。
HTTP 与 HTTPS 的区别
HTTP 协议传输的数据都是未加密的,也就是明文的,因此使用 HTTP 协议传输隐私信息非常不安全,为了保证这些隐私数据能加密传输,于是网景公司设计了 SSL(Secure Sockets Layer)协议用于对 HTTP 协议传输的数据进行加密,从而就诞生了 HTTPS。简单来说,HTTPS 协议是由 SSL+HTTP 协议构建的可进行加密传输、身份认证的网络协议,要比 http 协议安全。
HTTPS 和 HTTP 的区别主要如下:
- https 协议需要到 ca 申请证书,一般免费证书较少,因而需要一定费用。
- http 是超文本传输协议,信息是明文传输,https 则是具有安全性的 ssl 加密传输协议。
- http 和 https 使用的是完全不同的连接方式,用的端口也不一样,前者是 80,后者是 443。
- http 的连接很简单,是无状态的;HTTPS 协议是由 SSL+HTTP 协议构建的可进行加密传输、身份认证的网络协议,比 http 协议安全。
SSL 证书是什么
SSL 证书(SSL1Certificates)是数字证书的一种,类似于驾驶证、护照和营业执照的电子副本。因为配置在服务器上,也称为 SSL 服务器证书。由受信任的数字证书颁发机构 CA,在验证服务器身份后颁发,具有服务器身份验证和数据传输加密功能。
SSL 证书通过在客户端浏览器和 Web 服务器之间建立一条 SSL 安全通道(Secure socket layer(SSL)安全协议是由 Netscape Communication 公司设计开发。该安全协议主要用来提供对用户和服务器的认证;对传送的数据进行加密和隐藏;
HTTP 变成 HTTPS,SSL 发挥什么作用
SSL 证书主要是服务于 HTTPS,部署证书后,网站链接就由 HTTP 开头变为 HTTPS。
主要用于发送安全电子邮件、访问安全站点、网上招标与投标、网上签约、网上订购、网上办公、网上缴费、网上缴税以及网上购物等安全的网上电子交易活动。
SSL 证书内容实现 2 个基本功能
数据传输加密
我们通常的互联网访问、浏览都是基于标准的 TCP/IP 协议,内容以数据包的形式在网络上传输。
由于数据包内容没有进行加密,任何截获数据包的人都可以取得其中的内容。那么数据包中如果传输的是用户名、密码或其他个人隐私资料就很容易被别人窃取。
SSL 可以在用户使用的客户端(如:浏览器)和服务器之间建立一个加密的通道,所有在网络上传输的数据都会先进行加密,当传输到目的地以后再进行解密,这样传输过程中即使数据包被截获,也很难破解其中的内容。
服务器信息证明
目前,仿冒网站已经成为互联网使用中的严重威胁,仿冒者可以制作一个与真实网站完全一样的界面,并且采用相似的域名引导用户访问。
如果使用者不加注意,很容易上当,一旦在仿冒网站的使用过程中输入了帐号密码等信息,就会被仿冒网站记录,进而被冒用,威胁用户的帐户安全。
SSL 服务器证书可以有效地证明网站的真实信息、使用域名的合法性,让使用者可以很容易识别真实网站和仿冒网站。
SSL 证书在申请的时候都会通过严格的审查手段对申请者的身份进行确认,用户在访问网站的时候可以看到证书的内容,其中包含网站的真实域名、网站的所有者、证书颁发组织等信息。浏览器也会给出相应的安全标识,让访问者可以放心使用。