http安全
-
https介绍
-
因为HTTP是明文传输,所以不安全,容易被黑客窃听或窜改;
-
通信安全必须同时具备机密性、完整性,身份认证和不可否认这四个特性
-
HTTPS的语法、语义仍然是HTTP,但把下层的协议由TCP/IP换成了SSL/TLS;
-
SSL/TLS是信息安全领域中的权威标准,采用多种先进的加密技术保证通信安全; OpenSSL是著名的开源密码学工具包,是SSL/TLS的具体实现。
-
对称加密和非对称加密
-
“对称加密”很好理解,就是指加密和解密时使用的密钥都是同一个
-
非对称加密(也叫公钥加密算法)。它有两个密钥,一个叫“公钥”(public key),一个叫“私钥”(private key)。两个密钥是不同 的,“不对称”,公钥可以公开给任何人使用,而私钥必须严格保密。
-
加密算法的核心思想是“把一个小秘密(密钥)转化为一个大秘密(密文消息)”,守住了小秘密,也 就守住了大秘密;
-
对称加密只使用一个密钥,运算速度快,密钥必须保密,无法做到安全的密钥交换,常用的有AES和 ChaCha20;
-
非对称加密使用两个密钥:公钥和私钥,公钥可以任意分发而私钥保密,解决了密钥交换问题但速度 慢,常用的有RSA和ECC;
-
把对称加密和非对称加密结合起来就得到了“又好又快”的混合加密,也就是TLS里使用的加密方式。
-
数字签名与证书
-
摘要算法用来实现完整性,能够为数据生成独一无二的“指纹”,常用的算法是SHA-2;
-
数字签名是私钥对摘要的加密,可以由公钥解密后验证,实现身份认证和不可否认;
-
公钥的分发需要使用数字证书,必须由CA的信任链来验证,否则就是不可信的;
-
作为信任链的源头CA有时也会不可信,解决办法有CRL、OCSP,还有终止信任。
-
https连接
-
HTTPS协议会先与服务器执行TCP握手,然后执行TLS握手,才能建立安全连接;
-
握手的目标是安全地交换对称密钥,需要三个随机数,第三个随机数“Pre-Master”必须加密传输,绝 对不能让黑客破解;
-
“Hello”消息交换随机数,“Key Exchange”消息交换“Pre-Master”;
-
Change Cipher Spec”之前传输的都是明文,之后都是对称密钥加密的密文。
-
TLS1.3
-
为了兼容1.1、1.2等“老”协议,TLS1.3会“伪装”成TLS1.2,新特性在“扩展”里实现;
-
1.1、1.2在实践中发现了很多安全隐患,所以TLS1.3大幅度删减了加密算法,只保留了ECDHE、AES、 ChaCha20、SHA-2等极少数算法,强化了安全;
-
TLS1.3也简化了握手过程,完全握手只需要一个消息往返,提升了性能
-
HTTPS的优化
-
可以有多种硬件和软件手段减少网络耗时和计算耗时,让HTTPS变得和HTTP一样快,最可行的是软件优化;
-
应当尽量使用ECDHE椭圆曲线密码套件,节约带宽和计算量,还能实现“False Start”;
-
服务器端应当开启“OCSP Stapling”功能,避免客户端访问CA去验证证书;
-
会话复用的效果类似Cache,前提是客户端必须之前成功建立连接,后面就可以用“Session ID”“Session Ticket”等凭据跳过密钥交换、证书验证等步骤,直接开始加密通信
-
http2
-
HTTP协议取消了⼩版本号,所以HTTP/2的正式名字不是2.0;
-
HTTP/2在“语义”上兼容HTTP/1,保留了请求⽅法、URI等传统概念;
-
.HTTP/2使⽤“HPACK”算法压缩头部信息,消除冗余数据节约带宽;
-
HTTP/2的消息不再是“Header+Body”的形式,⽽是分散为多个⼆进制“帧”;
-
HTTP/2使⽤虚拟的“流”传输消息,解决了困扰多年的“队头阻塞”问题,同时实现了“多路复⽤”, 提⾼连接的利⽤率;
-
HTTP/2也增强了安全性,要求⾄少是TLS1.2,⽽且禁⽤了很多不安全的密码套件。
-
HTTP/2在⼀个连接上使⽤多个流收发数据,那么它本⾝默认就会是⻓连接,所以永远不需 要“Connection”头字段(keepalive或close)。
-
1.HTTP/2必须先发送⼀个“连接前⾔”字符串,然后才能建⽴正式连接;
-
HTTP/2废除了起始⾏,统⼀使⽤头字段,在两端维护字段“Key-Value”的索引表,使⽤“HPACK”算 法压缩头部;
-
HTTP/2把报⽂切分为多种类型的⼆进制帧,报头⾥最重要的字段是流标识符,标记帧属于哪个流;
-
.流是HTTP/2虚拟的概念,是帧的双向传输序列,相当于HTTP/1⾥的⼀次“请求-应答”;
-
在⼀个HTTP/2连接上可以并发多个流,也就是多个“请求-响应”报⽂,这就是“多路复⽤”
-
HTTP/2的流
-
流是可并发的,⼀个HTTP/2连接上可以同时发出多个流传输数据,也就是并发多请求,实现“多路复 ⽤”;
-
.客⼾端和服务器都可以创建流,双⽅互不⼲扰
-
.流是双向的,⼀个流⾥⾯客⼾端和服务器都可以发送或接收数据帧,也就是⼀个“请求-应答”来回;
-
流之间没有固定关系,彼此独⽴,但流内部的帧是有严格顺序的;
-
.流可以设置优先级,让服务器优先处理,⽐如先传HTML/CSS,后传图⽚,优化⽤⼾体验;
-
.流ID不能重⽤,只能顺序递增,客⼾端发起的ID是奇数,服务器端发起的ID是偶数; 7.在流上发送“RST_STREAM”帧可以随时终⽌流,取消接收或发送;
-
.第0号流⽐较特殊,不能关闭,也不能发送数据帧,只能发送控制帧,⽤于流量控制。
-
客⼾端在⼀个连接⾥最多只能发出2^30,也就是10亿个请求
-
HTTP/3综合了我们之前讲的所有技术(HTTP/1、SSL/TLS、HTTP/2),包含知识点很多,⽐如队头阻塞、 0-RTT握⼿、虚拟的“流”、多路复⽤,算得上是“集⼤成之作”
-
HTTP/3基于QUIC协议,完全解决了“队头阻塞”问题,弱⽹环境下的表现会优于HTTP/2;
-
.QUIC是⼀个新的传输层协议,建⽴在UDP之上,实现了可靠传输
-
.QUIC内含了TLS1.3,只能加密通信,⽀持0-RTT快速建连;
-
.QUIC的连接使⽤“不透明”的连接ID,不绑定在“IP地址+端⼝”上,⽀持“连接迁移”;
-
QUIC的流与HTTP/2的流很相似,但分为双向流和单向流;
-
.HTTP/3没有指定默认端⼝号,需要⽤HTTP/2的扩展帧“Alt-Svc”来发现。
浪波激泥