-
HTTP 的问题及 HTTPS 的解决方式
-
数据安全问题
- 信息泄露风险：HTTP（超文本传输协议）是一种明文传输协议，数据在网络传输过程中是以未加密的形式发送的。这就使得攻击者可以通过网络嗅探工具（如 Wireshark）在数据传输的中间环节（如 Wi - Fi 热点、网络服务提供商等）截获用户发送和接收的信息，包括登录凭证、个人隐私数据、金融交易信息等敏感内容。
- HTTPS 加密机制：HTTPS（超文本传输安全协议）通过在 HTTP 协议的基础上加入 SSL/TLS（安全套接层 / 传输层安全）加密协议来解决这个问题。SSL/TLS 协议使用非对称加密（如 RSA 算法）在客户端和服务器端建立安全连接时交换密钥，然后使用对称加密（如 AES 算法）对传输的数据进行加密。这样，即使数据在传输过程中被截获，攻击者也无法解密查看内容。例如，在网上银行的交易过程中，用户的账户密码、交易金额等信息通过 HTTPS 加密后传输，保护了用户的金融安全。
-
数据完整性问题
- 数据篡改风险：在 HTTP 协议中，数据没有完整性验证机制。攻击者可以在传输过程中截获数据后进行篡改，然后再将篡改后的数据发送给接收方。接收方无法察觉数据是否被篡改，可能会导致信息错误传达、系统故障或安全漏洞。
- HTTPS 数据完整性保障：SSL/TLS 协议在传输数据时会生成消息认证码（MAC）或使用数字签名技术来确保数据的完整性。发送方会对传输的数据进行计算得到一个唯一的标识（如哈希值），并将这个标识与数据一起发送。接收方在收到数据后会进行同样的计算，如果计算得到的标识与接收到的标识不一致，就说明数据被篡改，从而拒绝接收该数据。这就保证了从客户端发送到服务器端以及从服务器端发送到客户端的数据在传输过程中的完整性。
-
身份认证问题
- 中间人攻击风险：在 HTTP 通信中，客户端很难确认与之通信的服务器是否是真正的目标服务器。攻击者可以通过中间人攻击（Man - in - the - Middle Attack），伪装成服务器与客户端通信，获取客户端的信息，或者伪装成客户端与服务器通信，获取服务器的响应信息。
- HTTPS 身份认证方式：HTTPS 使用数字证书来进行身份认证。服务器端需要向权威的证书颁发机构（CA，Certificate Authority）申请数字证书，数字证书包含服务器的公钥、服务器的身份信息（如域名、公司名称等）以及 CA 的数字签名。客户端在与服务器建立连接时，会验证服务器提供的数字证书。如果证书是由受信任的 CA 颁发的，并且证书中的信息与服务器实际情况相符（如域名匹配），客户端就可以确认服务器的身份是真实可靠的，从而避免了中间人攻击。
-
-
HTTPS 的可信度探讨
- 证书颁发机构的可信度：虽然 HTTPS 通过数字证书进行身份认证，但证书颁发机构的可信度是一个关键因素。如果证书颁发机构本身存在安全漏洞或者被恶意攻击者利用，可能会颁发虚假证书。例如，一些不太正规的 CA 可能在审核服务器身份信息时不够严格，导致恶意服务器获得看似合法的证书，从而欺骗客户端。
- 证书伪造风险：技术高超的攻击者可能会尝试伪造数字证书。尽管伪造证书需要突破复杂的加密技术和 CA 的安全机制，但在理论上仍然存在这种可能性。例如，通过攻击 CA 的内部系统或者利用加密算法的漏洞来生成虚假证书，使客户端误以为是合法的服务器在与之通信。
- 用户忽视证书警告：即使证书出现问题（如证书过期、域名不匹配等），浏览器会向用户发出警告。然而，许多用户可能会忽视这些警告并继续访问网站，这就给攻击者提供了可乘之机。例如，一些用户在看到浏览器提示证书不可信时，仍然因为急于访问网站内容而选择忽略警告，从而可能会遭受安全威胁。
