HTTPS是什么

HTTPS全稱(chēng)為Hypertext Transfer Protocol over Secure Socket Layer，及以安全為目標的HTTP通道，簡(jiǎn)單說(shuō)就是HTTP的安全版本。

HTTPS其實(shí)是由兩部分組成的：HTTP+TLS/SSL，即HTTP下加入TLS/SSL層，HTTPS的安全基礎就是TLS/SSL。服務(wù)端和客戶(hù)端的信息傳輸都會(huì )通過(guò)TLS/SSL進(jìn)行加密，所以傳輸的數據都是加密之后的數據。TLS的前身就是SSL協(xié)議，因此沒(méi)有特別說(shuō)明TLS/SSL說(shuō)的都是同一個(gè)東西。

HTTP在安全方面的缺陷

HTTP本身是明文傳輸的，沒(méi)有經(jīng)過(guò)任何安全處理。例如用戶(hù)在百度搜索了一個(gè)關(guān)鍵字，比如"蘋(píng)果手機"，中間者完全能夠查到到這個(gè)信息，并且有可能打電話(huà)過(guò)來(lái)騷擾用戶(hù)。也有一些用戶(hù)投訴使用百度時(shí)，發(fā)現首頁(yè)或者結果頁(yè)浮了一個(gè)很長(cháng)很大的廣告，這也肯定是中間者往頁(yè)面插的廣告內容。如果劫持技術(shù)比較低劣的話(huà)，用戶(hù)甚至無(wú)法訪(fǎng)問(wèn)百度。

這里提到的一些中間者主要指一些網(wǎng)絡(luò )節點(diǎn)，使用戶(hù)數據在瀏覽器和百度服務(wù)器之間傳輸必須要經(jīng)過(guò)的節點(diǎn)，比如WIFI熱點(diǎn)、路由器、防火墻、反向代理、緩存服務(wù)器等。

在HTTP協(xié)議下，中間者可以隨意嗅探用戶(hù)搜索內容，竊取隱私甚至篡改網(wǎng)頁(yè)。不過(guò)HTTPS是這些劫持行為的克星，能夠完全有效地防御?？傮w來(lái)說(shuō)，HTTPS協(xié)議提供了三個(gè)強大的功能來(lái)對抗上述的劫持行為：

1、內容加密。瀏覽器到百度服務(wù)器的內容都是以加密形式傳輸的，中間者無(wú)法直接查看原始內容

2、身份認證。保證用戶(hù)訪(fǎng)問(wèn)的是百度服務(wù)，即使被DNS劫持到了第三方站點(diǎn)，也會(huì )提醒用戶(hù)沒(méi)有訪(fǎng)問(wèn)百度服務(wù)

3、數據完整。防止內容被第三方冒充或篡改。