网站开发朋友圈广告,提供免费建网站的网,珠海手机建站模板,大中型网站开发流程1.HTTP HTTP在传输数据时#xff0c;通常都是明文传输#xff0c;也就是传输的数据没有进行加密。在这种情况下#xff0c;如果传输的是一些敏感数据#xff0c;比如某银行卡密码#xff0c;就很容易被别人截获到#xff0c;这就对我们的个人利益产生了威胁。
HTTP传输数…1.HTTP HTTP在传输数据时通常都是明文传输也就是传输的数据没有进行加密。在这种情况下如果传输的是一些敏感数据比如某银行卡密码就很容易被别人截获到这就对我们的个人利益产生了威胁。
HTTP传输数据时数据安全无法得到保证 2. HTTPS
如今大多数网站使用的都是HTTPS。 对于HTTP的机制HTTPS也同样适用。它们的区别在于HTTPS在HTTP的基础上在数据安全方面做了进一步改进。也就是说HTTPS是基于HTTP且进一步保证了数据的安全。 不加密的数据放在网络中传输就相当于裸奔黑客很容易就能获取到相关数据。数据安全问题受到了极大的威胁。 因此在进行网络通信时更安全的做法是将传输的数据进行加密特别是一些重要的数据将数据加密之后就算有人利用一些手段获取到了我们传输的数据但由于数据是经过加密的别人也很难破解数据这样就在一定程度上保证了数据安全HTTPS就做到了。 因此如今大多数网站使用的都是HTTPSHTTPS会将数据进行加密加密的方式有对称加密 和 非对称加密。
2.1 对称加密
对称加密就是 客户端生成一个密钥通过该密钥可以对数据进行 加密 和 解密。客户端向服务器发送数据时就会通过该密钥将数据进行加密并将密钥传给服务器。
当服务器拿到数据和密钥后就可以通过密钥对数据进行解密从而拿到数据原文。不同的客户端生成的密钥都不相同因此服务器拿到不一样的密钥就可以对 相应的数据 进行解密。 此时就存在一个问题黑客也可以在数据传输的过程中将密钥获取到从而拿到数据原文此时对 数据加密 也就形同虚设了。因此密钥也应该被加密这样即使黑客拿到密钥但无法破解 加密的 密钥就无法获取到原文数据了。对 密钥加密 就要需要 非对称加密 方式的帮助了。
2.2 非对称加密
非对称加密则是服务器生成一对儿密钥分别是 公钥m1 和 私钥m2。可以通过公钥对数据进行加密再通过私钥 对数据进行解密反之也可。 双方在通信时客户端会拿到 服务器持有的公钥m1客户端也会以 对称加密 的方式生成一个密钥n。客户端会通过密钥n对数据加密通过公钥m1对密钥n加密。 加密完成后客户端就将 密文 和 加密后的密钥 发送给服务器服务器就可以通过 私钥m2对加密过的 密钥 进行解密拿到密钥原文。再通过 对称密钥n 对密文进行解密从而拿到数据原文。 因此对称加密 和 非对称加密 相结合https使得数据安全得到了进一步保证黑客想拿到数据原文只获取到 加密的密钥 和 加密的数据是不够的因为黑客难以破解加密的密钥。 对称加密 和 非对称加密 两种方式相结合通信过程如下 通过以上方式以 非对称加密的方式 对 对称密钥 加密再通过 对称加密 对数据加密从而保证数据的安全传输。这是 对称加密 和 非对称加密 两种加密方式的结合 来支持数据安全。
没有仅仅使用 非对称加密方式 来实现安全传输的 原因就在于 使用非对称加密 方式 所造成的成本开销较大使得传输效率较低。因此 两种加密方式 相结合不仅保证了数据的安全传输也尽可能的减少开销成本。 此时又有一个新的漏洞即使 HTTPS 以 非对称加密 和 对称加密 相结合来传输数据黑客仍能找到漏洞将 服务器发送过来的 公钥 进行偷梁换柱从而窃取到数据漏洞如下 于是黑客 就在数据的传输过程中 悄无声息的 做了手脚客户端没有发现问题服务器也没有发现问题但数据已经被黑客窃取了。
因此仅仅使用 对称加密 和 非对称加密 并不能真正保证数据的安全传输。客户端无法辨别自己收到的 公钥 到底是不是 服务器发过来的无法完全信任。于是就引入了第三方公证机构客户端和服务器 都信任这个第三方机构第三方机构就能 帮助客户端 鉴别这个公钥是否是服务器的公钥。
2.3 第三方公证机构
每个服务器在搭建的时候都会以 非对称加密方式 生成一对儿 密钥并且向 公证机构 提交审核材料(域名服务器公钥厂商等相关信息)。 公证机构就会对 材料进行审核资质审核没问题的话就会给服务器颁发一个证书(一段结构化数据)服务器则会保存好证书。
证书中的内容就包括 网站的域名服务器的公钥数字签名(颁发证书的时候公证机构会根据证书的相关属性 计算出一个 校验和并且公证机构也会 以 非对称加密 方式 生成一对儿 密钥并且自己将私钥保留着公钥则内置在 客户端的设备中。公证机构 通过 私钥 对 校验和加密加密后的 校验和 就是 数字签名)等信息。
客户端向服务器发送信息之前会先向服务器 索要证书。客户端收到服务器发送过来的证书也就收到了 服务器的 公钥。收到证书后客户端会有一个 证书校验的过程。这个过程就是为了 验证 证书中的公钥是不是服务器生成的公钥。 证书校验校验的核心在于 “数字签名”客户端通过设备内置的公钥 对数字签名解密从而拿到 校验和。客户端再通过相同的方式 计算一遍校验和如果自己计算的校验和 和 服务器发来的校验和 一致的话则说明这个公钥就是 服务器的公钥。于是客户端就可以放心的使用 服务器发来的公钥了。 有了以上过程黑客就很难再窃取到数据了即使黑客在客户端收到证书之前先对证书进行篡改比如 修改公钥(如果黑客替换了了服务器的公钥那么客户端在进行校验和计算的时候计算的校验和结果则会与证书中的校验和不一致)修改数字签名(既然无法替换公钥干脆 黑客直接替换公钥再替换 数字签名。但 数字签名 是被 公证机构的 私钥 加密过的且公钥在客户端设备上黑客无法拿到 校验和原数据)申请一个证书(服务器的证书内容无法更改的话黑客能否直接申请一个证书直接在服务器证书的传输过程中直接替换掉证书但是 申请证书有资质审核的环节因此黑客无法申请到证书)。 【总结HTTPS加密机制】 1通过 对称加密 和 非对称加密 相结合对 数据 和 密钥 加密 2再引入 第三方公证机构防止 有人 偷梁换柱替换服务器的公钥。 通过以上方式的相结合HTTPS就可以在 极大程度上 保证了 数据的安全传输。因此如今绝大多数的网站使用的都是HTTPS。
