http安全
-
https介绍
-
因为HTTP是明文传输，所以不安全，容易被黑客窃听或窜改；
-
通信安全必须同时具备机密性、完整性，身份认证和不可否认这四个特性
-
HTTPS的语法、语义仍然是HTTP，但把下层的协议由TCP/IP换成了SSL/TLS；
-
SSL/TLS是信息安全领域中的权威标准，采用多种先进的加密技术保证通信安全； OpenSSL是著名的开源密码学工具包，是SSL/TLS的具体实现。
-
对称加密和非对称加密
-
“对称加密”很好理解，就是指加密和解密时使用的密钥都是同一个
-
非对称加密（也叫公钥加密算法）。它有两个密钥，一个叫“公钥”（public key），一个叫“私钥”（private key）。两个密钥是不同 的，“不对称”，公钥可以公开给任何人使用，而私钥必须严格保密。
-
加密算法的核心思想是“把一个小秘密（密钥）转化为一个大秘密（密文消息）”，守住了小秘密，也 就守住了大秘密；
-
对称加密只使用一个密钥，运算速度快，密钥必须保密，无法做到安全的密钥交换，常用的有AES和 ChaCha20；
-
非对称加密使用两个密钥：公钥和私钥，公钥可以任意分发而私钥保密，解决了密钥交换问题但速度 慢，常用的有RSA和ECC；
-
把对称加密和非对称加密结合起来就得到了“又好又快”的混合加密，也就是TLS里使用的加密方式。
-
数字签名与证书
-
摘要算法用来实现完整性，能够为数据生成独一无二的“指纹”，常用的算法是SHA-2；
-
数字签名是私钥对摘要的加密，可以由公钥解密后验证，实现身份认证和不可否认；
-
公钥的分发需要使用数字证书，必须由CA的信任链来验证，否则就是不可信的；
-
作为信任链的源头CA有时也会不可信，解决办法有CRL、OCSP，还有终止信任。
-
https连接
-
HTTPS协议会先与服务器执行TCP握手，然后执行TLS握手，才能建立安全连接；
-
握手的目标是安全地交换对称密钥，需要三个随机数，第三个随机数“Pre-Master”必须加密传输，绝 对不能让黑客破解；
-
“Hello”消息交换随机数，“Key Exchange”消息交换“Pre-Master”；
-
Change Cipher Spec”之前传输的都是明文，之后都是对称密钥加密的密文。
-
TLS1.3
-
为了兼容1.1、1.2等“老”协议，TLS1.3会“伪装”成TLS1.2，新特性在“扩展”里实现；
-
1.1、1.2在实践中发现了很多安全隐患，所以TLS1.3大幅度删减了加密算法，只保留了ECDHE、AES、 ChaCha20、SHA-2等极少数算法，强化了安全；
-
TLS1.3也简化了握手过程，完全握手只需要一个消息往返，提升了性能
-
HTTPS的优化
-
可以有多种硬件和软件手段减少网络耗时和计算耗时，让HTTPS变得和HTTP一样快，最可行的是软件优化；
-
应当尽量使用ECDHE椭圆曲线密码套件，节约带宽和计算量，还能实现“False Start”；
-
服务器端应当开启“OCSP Stapling”功能，避免客户端访问CA去验证证书；
-
会话复用的效果类似Cache，前提是客户端必须之前成功建立连接，后面就可以用“Session ID”“Session Ticket”等凭据跳过密钥交换、证书验证等步骤，直接开始加密通信
-
http2
-
HTTP协议取消了⼩版本号，所以HTTP/2的正式名字不是2.0；
-
HTTP/2在“语义”上兼容HTTP/1，保留了请求⽅法、URI等传统概念；
-
.HTTP/2使⽤“HPACK”算法压缩头部信息，消除冗余数据节约带宽；
-
HTTP/2的消息不再是“Header+Body”的形式，⽽是分散为多个⼆进制“帧”；
-
HTTP/2使⽤虚拟的“流”传输消息，解决了困扰多年的“队头阻塞”问题，同时实现了“多路复⽤”， 提⾼连接的利⽤率；
-
HTTP/2也增强了安全性，要求⾄少是TLS1.2，⽽且禁⽤了很多不安全的密码套件。
-
HTTP/2在⼀个连接上使⽤多个流收发数据，那么它本⾝默认就会是⻓连接，所以永远不需 要“Connection”头字段（keepalive或close）。
-
1.HTTP/2必须先发送⼀个“连接前⾔”字符串，然后才能建⽴正式连接；
-
HTTP/2废除了起始⾏，统⼀使⽤头字段，在两端维护字段“Key-Value”的索引表，使⽤“HPACK”算 法压缩头部；
-
HTTP/2把报⽂切分为多种类型的⼆进制帧，报头⾥最重要的字段是流标识符，标记帧属于哪个流；
-
.流是HTTP/2虚拟的概念，是帧的双向传输序列，相当于HTTP/1⾥的⼀次“请求-应答”；
-
在⼀个HTTP/2连接上可以并发多个流，也就是多个“请求-响应”报⽂，这就是“多路复⽤”
-
HTTP/2的流
-
流是可并发的，⼀个HTTP/2连接上可以同时发出多个流传输数据，也就是并发多请求，实现“多路复 ⽤”；
-
.客⼾端和服务器都可以创建流，双⽅互不⼲扰
-
.流是双向的，⼀个流⾥⾯客⼾端和服务器都可以发送或接收数据帧，也就是⼀个“请求-应答”来回；
-
流之间没有固定关系，彼此独⽴，但流内部的帧是有严格顺序的；
-
.流可以设置优先级，让服务器优先处理，⽐如先传HTML/CSS，后传图⽚，优化⽤⼾体验；
-
.流ID不能重⽤，只能顺序递增，客⼾端发起的ID是奇数，服务器端发起的ID是偶数； 7.在流上发送“RST_STREAM”帧可以随时终⽌流，取消接收或发送；
-
.第0号流⽐较特殊，不能关闭，也不能发送数据帧，只能发送控制帧，⽤于流量控制。
-
客⼾端在⼀个连接⾥最多只能发出2^30，也就是10亿个请求
-
HTTP/3综合了我们之前讲的所有技术（HTTP/1、SSL/TLS、HTTP/2），包含知识点很多，⽐如队头阻塞、 0-RTT握⼿、虚拟的“流”、多路复⽤，算得上是“集⼤成之作”
-
HTTP/3基于QUIC协议，完全解决了“队头阻塞”问题，弱⽹环境下的表现会优于HTTP/2；
-
.QUIC是⼀个新的传输层协议，建⽴在UDP之上，实现了可靠传输
-
.QUIC内含了TLS1.3，只能加密通信，⽀持0-RTT快速建连；
-
.QUIC的连接使⽤“不透明”的连接ID，不绑定在“IP地址+端⼝”上，⽀持“连接迁移”；
-
QUIC的流与HTTP/2的流很相似，但分为双向流和单向流；
-
.HTTP/3没有指定默认端⼝号，需要⽤HTTP/2的扩展帧“Alt-Svc”来发现。
浪波激泥
