HTTPS
SSL\TLS协议
问题
- https存在的意义是什么？
- 运行的基本过程是什么？
- 如何建立安全连接？
http通讯的风险
（1） 窃听风险（eavesdropping）：第三方可以获知通信内容。
（2） 篡改风险（tampering）：第三方可以修改通信内容。
（3） 冒充风险（pretending）：第三方可以冒充他人身份参与通信。
https的诞生
（1） 所有信息都是加密传播，第三方无法窃听。
（2） 具有校验机制，一旦被篡改，通信双方会立刻发现。
（3） 配备身份证书，防止身份被冒充。
HTTPS（HyperText Transfer Protocol Secure）是 HTTP（HyperText Transfer Protocol）的安全版本，旨在为网络通信提供更高的安全性。
运行过程
SSL/TLS协议的基本思路是采用公钥加密法，也就是说，客户端先向服务器端索要公钥，然后用公钥加密信息，服务器收到密文后，用自己的私钥解密。
（1） 客户端向服务器端索要并验证公钥。
（2） 双方协商生成"对话密钥"。
（3） 双方采用"对话密钥"进行加密通信。
“对话密钥"进行加密信息主体，而服务器公钥只用于加密"对话密钥"本身。减少了加密运算的消耗时间。
握手建立连接
“握手阶段"涉及四次通信
①客户端发出请求（ClientHello）
在这一步，客户端主要向服务器提供以下信息。
（1） 支持的协议版本，比如TLS 1.0版。
（2） 一个客户端生成的随机数，稍后用于生成"对话密钥”。
（3） 支持的加密方法，比如RSA公钥加密。
（4） 支持的压缩方法。
②服务器回应（SeverHello）
服务器收到客户端请求后，向客户端发出回应，这叫做SeverHello。服务器的回应包含以下内容。
（1） 确认使用的加密通信协议版本，比如TLS 1.0版本。如果浏览器与服务器支持的版本不一致，服务器关闭加密通信。
（2） 一个服务器生成的随机数，稍后用于生成"对话密钥”。
（3） 确认使用的加密方法，比如RSA公钥加密。
（4） 服务器证书。
③客户端回应
客户端收到服务器回应以后，首先验证服务器证书。如果证书不是可信机构颁布、或者证书中的域名与实际域名不一致、或者证书已经过期，就会向访问者显示一个警告，由其选择是否还要继续通信。
比如有时访问页面时出现的警告：是否继续访问此网站，本次连接不是一个安全的连接。意思就是https已经失效，现在是一个http不安全连接。
如果证书没有问题，客户端就会从证书中取出服务器的公钥。然后，向服务器发送下面三项信息。
（1） 一个随机数。该随机数用服务器公钥加密，防止被窃听。
（2） 编码改变通知，表示随后的信息都将用双方商定的加密方法和密钥发送。
（3） 客户端握手结束通知，表示客户端的握手阶段已经结束。这一项同时也是前面发送的所有内容的hash值，用来供服务器校验。
上面第一项的随机数，是整个握手阶段出现的第三个随机数，又称"pre-master key"。有了它以后，客户端和服务器就同时有了三个随机数，接着双方就用事先商定的加密方法，各自生成本次会话所用的同一把"会话密钥"。
④服务器的最后回应
服务器收到客户端的第三个随机数pre-master key之后，计算生成本次会话所用的"会话密钥"。然后，向客户端最后发送下面信息。
（1）编码改变通知，表示随后的信息都将用双方商定的加密方法和密钥发送。
（2）服务器握手结束通知，表示服务器的握手阶段已经结束。这一项同时也是前面发送的所有内容的hash值，用来供客户端校验。
至此，整个握手阶段全部结束。接下来，客户端与服务器进入加密通信，就完全是使用普通的HTTP协议，只不过用"会话密钥"加密内容。
总结
客户端和服务端的共享变量就是这三个随机数，双方根据约定好的加密方法进行"对话密钥“生成，客户端通过对话密钥进行数据的加密操作生成密文，然后根据从服务端获取的公钥对密文进行再次加密，通过http请求发送至服务端；服务端根据私钥解密密文，再根据对话密钥解密，获取最终的真实数据。
http协议比作两个人在炸鸡兄弟的餐馆中谈论着，这家老板是卖
Ice Bule的，并且与墨西哥黑帮有合作；https协议比作这两个人用高等瓦雷利亚语谈论着这件事，没人能听懂他俩在说什么，但是不能保证每个人都听不懂，如果有人听懂并且告诉了炸鸡叔和汉克，那这就是信息泄露。