江苏龙网

  1. 主页 > 生活百科 > >

不可遗漏的知识点----你应该知道的https

https


不可遗漏的知识点----你应该知道的https

文章插图
 
基本概念HTTP:超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息，HTTP协议以明文方式发送内容，不提供任何方式的数据加密，因此，HTTP协议不适合传输一些敏感信息，比如：信用卡号、密码等支付信息 。
HTTPS：是以安全为目标的HTTP通道，简单讲是HTTP的安全版，即HTTP下加入SSL层，HTTPS的安全基础是SSL(SSL记录协议[SSL Record Protocol])，因此加密的详细内容就需要SSL 。
HTTPS协议的主要作用可以分为两种：一种是建立一个信息安全通道，来保证数据传输的安全；另一种就是确认网站的真实性 。
HTTPS和HTTP的区别
不可遗漏的知识点----你应该知道的https

文章插图
 
 1. https协议需要到ca申请证书，一般免费证书较少，因而需要一定费用 。
2. http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议 。
3. http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443 。
4. http的连接很简单，是无状态的；
5. HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全 。
HTTPS最大的特点HTTPS最大的特点是安全，在保护用户隐私，防止流量劫持方面发挥着非常关键的作用 。主要有以下3点：
  1. 内容加密 。浏览器到百度服务器的内容都是以加密形式传输，中间者无法直接查看原始内容 。
  2. 身份认证 。保证用户访问的是百度服务，即使被 DNS 劫持到了第三方站点，也会提醒用户没有访问百度服务，有可能被劫持
  3. 数据完整性 。防止内容被第三方冒充或者篡改 。
HTTPS的缺点1、证书费用以及更新维护 。
2、HTTPS 降低一定用户访问速度（实际上优化好就不是缺点了） 。
3、HTTPS 消耗 CPU 资源，需要增加大量机器 。
HTTPS 网络访问过程http协议下，用户只需要完成 TCP 三次握手建立 TCP 连接就能够直接发送 HTTP 请求获取应用层数据，此外在整个访问过程中也没有需要消耗计算资源的地方 。
HTTPS 的访问过程，相比 HTTP 要复杂很多，在部分场景下，使用 HTTPS 访问有可能增加 7 个 RTT 。
 
不可遗漏的知识点----你应该知道的https

文章插图
 
  1. 三次握手建立 TCP 连接 。耗时一个 RTT 。
  2. 使用 HTTP 发起 GET 请求，服务端返回 302 跳转到 https://www.baidu.com。需要一个 RTT 以及 302 跳转延时 。
  3. 三次握手重新建立 TCP 连接 。耗时一个 RTT 。
  4. TLS 完全握手阶段一 。耗时至少一个 RTT 。
  5. 解析 CA 站点的 DNS 。耗时一个 RTT 。
  6. 三次握手建立 CA 站点的 TCP 连接 。耗时一个 RTT 。
  7. 发起 OCSP 请求，获取响应 。耗时一个 RTT 。
  8. 完全握手阶段二，耗时一个 RTT 及计算时间 。
  9. 完全握手结束后，浏览器和服务器之间进行应用层（也就是 HTTP）数据传输 。
当然不是每个请求都需要增加 7 个 RTT 才能完成 HTTPS 首次请求交互 。大概只有不到 0.01% 的请求才有可能需要经历上述步骤 。
HTTPS的性能优化主要优化两方面，访问速度和计算性能 。
HTTPS 访问速度优化
  1. 设置HSTS，服务端返回一个 HSTS 的 http header，浏览器获取到 HSTS 头部之后，在一段时间内，不管用户输入www.baidu.com还是http://www.baidu.com，都会默认将请求内部跳转成https://www.baidu.com 。Chrome, firefox, ie 都支持了 HSTS 。
  2. Session resume，复用session可以减少 CPU 消耗，因为不需要进行非对称密钥交换的计算 。可以提升访问速度，不需要进行完全握手阶段二，节省了一个 RTT 和计算耗时 。复用有2种方式，Session cache和Session ticket 。
  3. Nginx设置Ocsp stapling 。Ocsp 全称在线证书状态检查协议 (rfc6960)，用来向 CA 站点查询证书状态，比如是否撤销 。通常情况下，浏览器使用 OCSP 协议发起查询请求，CA 返回证书状态内容，然后浏览器接受证书是否可信的状态 。这个过程非常消耗时间，因为 CA 站点有可能在国外，网络不稳定，RTT 也比较大 。如果不需要查询则可节约时间 。
  4. 使用 SPDY 或者 HTTP2 。SPDY 最大的特性就是多路复用，能将多个 HTTP 请求在同一个连接上一起发出去，不像目前的 HTTP 协议一样，只能串行地逐个发送请求 。Pipeline 虽然支持多个请求一起发送，但是接收时依然得按照顺序接收，本质上无法解决并发的问题 。HTTP2支持多路复用，有同样的效果 。


    推荐阅读


上一篇：茶行备战中秋 茶叶小幅提价

下一篇：湖南保靖黄金茶农将获省级蓝色证书