题目
解释HTTPS的基本原理及其与HTTP的主要区别
信息
- 类型：问答
- 难度：⭐
考点
HTTPS作用,TLS/SSL加密原理,数字证书验证
快速回答
HTTPS通过TLS/SSL协议在HTTP基础上提供安全传输，核心区别和原理包括：
- 加密传输：使用对称加密保护数据传输
- 身份验证：通过数字证书验证服务器身份
- 数据完整性：MAC机制防止数据篡改
典型HTTP默认端口80，HTTPS默认端口443
解析
一、核心原理说明
HTTPS = HTTP + TLS/SSL，在应用层和传输层之间添加安全层：
- 加密通信：通过混合加密体系（非对称加密交换密钥 + 对称加密传输数据）
- 身份认证：CA机构签发的数字证书验证服务器真实性
- 完整性保护：使用MAC（消息认证码）防止数据在传输中被篡改
二、与HTTP的关键区别
| 特性 | HTTP | HTTPS |
|---|---|---|
| 数据传输 | 明文 | 加密（TLS/SSL） |
| 默认端口 | 80 | 443 |
| 安全性 | 无加密/易被窃听 | 防窃听/防篡改/身份验证 |
| 证书要求 | 不需要 | 需要服务器数字证书 |
三、TLS握手简化流程
1. 客户端发起ClientHello（支持加密套件列表）
2. 服务器响应ServerHello（选定加密套件+发送证书）
3. 客户端验证证书并生成预主密钥（用服务器公钥加密）
4. 双方根据预主密钥生成会话密钥
5. 使用会话密钥开始加密通信四、最佳实践
- 所有涉及敏感信息（登录/支付）的页面必须使用HTTPS
- 使用HSTS响应头强制HTTPS：
Strict-Transport-Security: max-age=31536000 - 定期更新TLS版本（推荐TLS 1.3）
五、常见错误
- 证书问题：过期证书、域名不匹配、自签名证书未受信任
- 混合内容：HTTPS页面加载HTTP资源（浏览器会阻止）
- 配置错误：弱加密算法（如RC4）、未禁用SSLv3等不安全协议
六、扩展知识
- 证书类型：DV（域名验证）、OV（组织验证）、EV（扩展验证）
- 免费证书：Let's Encrypt提供自动化免费证书
- 性能影响：现代TLS 1.3握手仅需1-RTT，性能损耗可忽略
