HTTPS和HTTP的区别

Wesley13 等级 245 0 0

HTTPS(Secure Hypertext Transfer Protocol)安全超文本传输协议

它是一个安全通信通道,它基于HTTP开发,用于在客户计算机和服务器之间交换信息。它使用安全套接字层(SSL)进行信息交换,简单来说它是HTTP的安全版。 
它是由Netscape开发并内置于其浏览器中,用于对数据进行压缩和解压操作,并返回网络上传送回的结果。HTTPS实际上应用了Netscape的安全全套接字层(SSL)作为HTTP应用层的子层。(HTTPS使用端口443,而不是象HTTP那样使用端口80来和TCP/IP进行通信。)SSL使用40 位关键字作为RC4流加密算法,这对于商业信息的加密是合适的。HTTPS和SSL支持使用X.509数字认证,如果需要的话用户可以确认发送者是谁。

HTTP 和 HTTPS 的相同点:
大多数情况下,HTTP 和 HTTPS 是相同的,因为都是采用同一个基础的协议,作为 HTTP 或 HTTPS 客户端——浏览器,设立一个连接到 Web 服务器指定的端口。当服务器接收到请求,它会返回一个状态码以及消息,这个回应可能是请求信息、或者指示某个错误发送的错误信息。系统使用统一资源定位器 URI 模式,因此资源可以被唯一指定。而 HTTPS 和 HTTP 唯一不同的只是一个协议头(https)的说明,其他都是一样的。
HTTP 和 HTTPS 的不同之处:
1. HTTP 的 URL 以 http:// 开头,而 HTTPS 的 URL 以 https:// 开头
2. HTTP 是不安全的 信息是明文传输,而 HTTPS 是安全的 具有安全性的ssl加密传输
3. HTTP 标准端口是 80 ,而 HTTPS 的标准端口是 443
4. 在 OSI 网络模型中,HTTP 工作于应用层,而 HTTPS 工作在传输层
5. HTTP 无需加密,而 HTTPS 对传输的数据进行加密
6. HTTP 无需证书,而 HTTPS 需要认证证书

http的连接很简单,是无状态的

HTTPS 如何工作?
使用 HTTPS 连接时,服务器要求有公钥和签名的证书。
当使用 https 连接,服务器响应初始连接,并提供它所支持的加密方法。作为回应,客户端选择一个连接方法,并且客户端和服务器端交换证书验证彼此身份。完成之后,在确保使用相同密钥的情况下传输加密信息,然后关闭连接。为了提供 https 连接支持,服务器必须有一个公钥证书,该证书包含经过证书机构认证的密钥信息,大部分证书都是通过第三方机构授权的,以保证证书是安全的。
换句话说,HTTPS 跟 HTTP 一样,只不过增加了 SSL。
HTTP 包含如下动作:
1. 浏览器打开一个 TCP 连接
2. 浏览器发送 HTTP 请求到服务器端
3. 服务器发送 HTTP 回应信息到浏览器
4. TCP 连接关闭
SSL 包含如下动作:
1. 验证服务器端
2. 允许客户端和服务器端选择加密算法和密码,确保双方都支持
3. 验证客户端(可选)
4. 使用公钥加密技术来生成共享加密数据
5. 创建一个加密的 SSL 连接
6. 基于该 SSL 连接传递 HTTP 请求
什么时候该使用 HTTPS?
银行网站、支付网关、购物网站、登录页、电子邮件以及一些企业部门的网站应该使用 HTTPS,例如:
PayPal: https://www.paypal.com
Google AdSense: https://www.google.com/adsense/
如果某个网站要求你填写信用卡信息,首先你要检查该网页是否使用 https 加密连接,如果没有,那么请不要输入任何敏感信息如信用卡号。
浏览器集成
多数浏览器在收到一个无效证书的时候都会显示警告信息,而一些老的浏览器会弹出对话框让用户选择是否继续浏览。新的浏览器一般在整个窗口显示横幅的警告信息,同时在地址栏上显示该网站的安全信息。如果网站中包含加密和非加密的混合内容,多数浏览器会提示警告信息。

HTTPS解决的问题:
1 . 信任主机的问题. 采用https 的server 必须从CA 申请一个用于证明服务器用途类型的证书. 改证书只有用于对应的server 的时候,客户度才信任次主机. 所以目前所有的银行系统网站,关键部分应用都是https 的. 客户通过信任该证书,从而信任了该主机. 其实这样做效率很低,但是银行更侧重安全. 这一点对我们没有任何意义,我们的server ,采用的证书不管自己issue 还是从公众的地方issue, 客户端都是自己人,所以我们也就肯定信任该server. 
2 . 通讯过程中的数据的泄密和被窜改,一般意义上的https, 就是 server 有一个证书,主要目的是保证server 就是他声称的server. 这个跟第一点一样,服务端和客户端之间的所有通讯,都是加密的,具体讲,是客户端产生一个对称的密钥,通过server 的证书来交换密钥. 一般意义上的握手过程,接下来所有的信息往来就都是加密的. 第三方即使截获,也没有任何意义.因为他没有密钥. 当然窜改也就没有什么意义了. 

       少许对客户端有要求的情况下,会要求客户端也必须有一个证书,这里客户端证书,其实就类似表示个人信息的时候,除了用户名/密码, 还有一个CA 认证过的身份. 应为个人证书一般来说上别人无法模拟的,所有这样能够更深的确认自己的身份,前少数个人银行的专业版是这种做法,具体证书可能是拿U盘作为一个备份的载体. 
       HTTPS 一定是繁琐的,本来简单的http协议,一个get一个response. 由于https 要还密钥和确认加密算法的需要.单握手就需要6/7 个往返,任何应用中,过多的round trip 肯定影响性能,接下来才是具体的http协议,每一次响应或者请求, 都要求客户端和服务端对会话的内容做加密/解密,尽管对称加密/解密效率比较高,可是仍然要消耗过多的CPU,为此有专门的SSL 芯片. 如果CPU 信能比较低的话,肯定会降低性能,从而不能serve 更多的请求,加密后数据量的影响. 所以,才会出现那么多的安全认证提示

收藏
评论区

相关推荐

HTTPS、SSL、TLS三者之间的联系和区别
**SSL(Secure Socket Layer 安全套接层)**是基于HTTPS下的一个协议加密层,最初是由网景公司(Netscape)研发,后被IETF(The Internet Engineering Task Force - 互联网工程任务组)标准化后写入(RFCRequest For Comments 请求注释),RFC里包含了很多互联网技术的规
HTTPS和HTTP的区别
HTTPS(Secure Hypertext Transfer Protocol)安全超文本传输协议 它是一个安全通信通道,它基于HTTP开发,用于在客户计算机和服务器之间交换信息。它使用安全套接字层(SSL)进行信息交换,简单来说它是HTTP的安全版。  它是由Netscape开发并内置于其浏览器中,用于对数据进行压缩和解压操作,并返回网络上传送回的
Java安全通信:HTTPS与SSL
1\. HTTPS概念         1)简介            HTTPS(全称:Hypertext Transfer Protocol over Secure Socket Layer),是以安全为目标的[HTTP](https://www.oschina.net/action/GoToLink?url=http%3A%2F%2Fbaike.b
SSL 证书变革之时已至,这些变化你都清楚吗?
现代社会最离不开的是“安全”,无论是生命、财产、数据还是其他任何事物都需要各种手段来保证安全,互联网自然也无法免俗。HTTP 协议作为无法加密数据,让所有通信数据都在网络中明文“裸奔”的存在,是导致数据泄露、数据篡改、流量劫持、钓鱼攻击等安全问题的重要原因,而能够解决 HTTP 明文协议缺陷的就是 HTTPS。 HTTPS 与 SSL ----------
SSL工作原理
=== **[SSL](https://www.oschina.net/action/GoToLink?url=http%3A%2F%2Fwww.wosign.com)** 是一个安全协议,它提供使用 TCP/IP 的通信应用程序间的隐私与完整性。因特网的 超文本传输协议(HTTP)使用 SSL 来实现安全的通信。 在客户端与服务器间传输的数据是
thinkphp5 + vue nginx配置
### **thinkphp5 + vue 配置** server { listen 80; listen [::]:80; # For https listen 443 ssl; listen [::]:443 ssl; ssl_c
Android https 自定义ssl证书使用
Android https自定义ssl证书使用 1,服务端配置单向认证,给出server.crt 2,通过命令生成bks文件 keytool -import -alias cert123 -file server.crt -keystore cert123.bks -storetype BKS -providerClass org.bouncycast
Linux下Apache SSL配置,即开启https访问
**Linux下Apache开启ssl** 首先需要安装openssl和apache的ssl模块,默认ssl模块是不安装的,需要执行: yum install openssl mod\_ssl -y 即可,接下来的配置方法可以安装一下步骤走 **1.引入mod\_ssl 模块**  LoadModule ssl\_module mo
Nginx SSL+Tomcat集群,request.getScheme() 取到https正确的协议
最近在做一个项目, 架构上使用了 Nginx +tomcat 集群, 且nginx下配置了SSL,tomcat no SSL,项目使用https协议 ![输入图片说明](https://static.oschina.net/uploads/img/201805/18213252_TT7i.png "在这里输入图片标题") 但是,明明是https url请
Nginx 配置 HTTPS 服务器
Nginx 配置 HTTPS 并不复杂,主要有两个步骤:**签署第三方可信任的 SSL 证书** 和 **配置 HTTPS** 签署第三方可信任的 SSL 证书 ---------------- ### 关于 SSL 证书 有关 SSL 的介绍可以参阅维基百科的传输层安全协议和阮一峰先生的 《SSL/TLS协议运行机制的概述》。 SSL 证书主要有两
Nginx+uwsgi+ssl配置https
使用原始django,太过于笨重和杂多 nginx是一个轻量级的web服务器,在处理静态资源和高并发有优势 uwsgi是一个基于python的高效率的协议,处理后端和动态网页有优势 所以这里采用静态网页交给nginx解析,动态网页交给uwsgi解析,并且nginx配置ssl,即可以使用出高安全,高效率的部署。 **步骤** 我
Nginx配置https
一、开启nginx的ssl模块 1.未安装过nginx,编译安装配置参数如下: ./configure \--prefix=/usr/local/nginx \--with-pcre \--with-http\_ssl\_module #ssl模块 \--with-http\_stub\_status\_module \--wit
Spring Boot前后端分离项目配置SSL证书——HTTPS
网站添加免费SSL证书——HTTPS协议 ==================== ### 一、SSL证书的下载 * `Spring Boot前后端分离`项目配置`SSL证书`,需要申请`两个`证书。前端申请`网站主域名`的SSL证书,后端可以在域名管理里面新建一个`子域名`。例如我的项目前端域名为:`www.mzwhzy.com`,后端域名为:`b
Tomcat 服务配置https(JKS格式SSL证书)
一、申请SSL证书 我使用的是腾讯云服务申请的免费证书,申请教程如下: [https://my.oschina.net/u/2820979/blog/3112997](https://my.oschina.net/u/2820979/blog/3112997) 二、Tomact 配置https 将下载的证书拷贝linux服务器下tomact服务器co
Tomcat配置SSL证书,使其支持HTTPS协议
自己搞个网站玩玩,话说某部门办事效率真的是停留在信件时代的。不过阿里倒是比较厚道的,为此专门给我免费续费了一个月云服务器,美滋滋! 看看具体操作吧! 1.备案呗!不备案域名不能用,解析了也白搭。 2.申请证书,阿里云免费的证书申请地址:[传送门](https://www.oschina.net/action/GoToLink?url=https%3A%