HTTPS-6

HTTPS简介

HTTPS（全称：HyperText Transfer Protocol over Secure Socket Layer），其实HTTPS并不是一个新鲜协议，Google很早之前就开始启用了，初衷是为了保证数据安全。近些年，Google、Baidu、Facebook等这样的互联网巨头，不谋而合地开始大力推行HTTPS，国内外的大型互联网公司很多也都已经启用了全站HTTPS，这也是互联网发展的趋势。

数据在传输的过程中没有进行加密的处理，利用第三黑客软件（kali中间人），可以进行数据的窃听/盗窃（明文传输）。

HTTPS在数据传输过程中进行加密处理，然后在去进行传输。

http 80

https 443

加密算法

对称加密

A要给B发送数据

1、A做一个对称密钥

2、使用密钥给文件加密

3、发送加密以后的文件和密钥

4、B拿钥匙解密

加密和解密都是使用的同一个密钥

非对称加密

公钥加密，私钥解密：A要给B发生数据

1、B做一对非对称的密钥

2、发送公钥给A

3、A拿公钥给数据加密

4、发送加密后的数据给B

5、B拿私钥解密

打个比方：

1.Alice 在盒子里放有信息，盒子上有挂锁，她有钥匙。通过邮局她把这个盒子寄给Bob。Bob收到盒子后，用相同的钥匙打开盒子（钥匙之前就得到了，可能是Alice面对面给他的）。然后Bob可以用同样的方法回复。

2.Bob和Alice各有自己的盒子。Alice要跟Bob秘密通信，她先让Bob把开着的盒子通过邮局发给她。Alice拿到盒子后放入信息锁上，然后发给Bob。Bob就可以用他自己的钥匙打开了。回复的话就用同样的方法。

信息接受者有两把钥匙：一把“公匙”，一把“私匙”。公匙是给信息发送者用来加密的，私匙是自己用来解密的，不必通过不安全的渠道发送私密的东西。公匙本来就是给别人用的，不用藏好。你的私匙在你产生私匙的电脑里保存着。

算法分类

将任意长度的信息转换为较短的固定长度的值，通常其长度要比信息小的多。例如：MD5、SHA-1、SHA-2、SHA-256 、SM9 等。

数字签名

签名就是在信息的后面再加上一段内容（信息经过hash后的值），可以证明信息没有被修改过。hash值一般都会加密后（也就是签名）再和信息一起发送，以保证这个hash值不被修改。

HTTPS协议介绍

HTTP 协议（HyperText Transfer Protocol，超文本传输协议）：是客户端浏览器或其他程序与web服务器之间的应用层通信协议。

HTTPS 协议（HyperText Transfer Protocol over Secure Socket Layer）：可以理解为HTTP SSL/TLS，即HTTP下加入SSL层，HTTPs的安全基础是SSL，因此加密的详细内容就需要SSL，用于安全的HTTP数据传输。

HTTPS相比HTTP多了一层SSL/TLS

SSL/TLS：SSL（Secure Sockets Layer 安全套接层），及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层为数据通讯进行加密提供安全支持。

SSL协议可分为两层：

SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。相当于连接

SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。相当于通信

 数据封装的过程

SSL协议提供的服务主要有：

SSL：身份认证和数据加密。保证数据完整性

1）认证用户和服务器，确保数据发送到正确的客户机和服务器

2）加密数据以防止数据中途被窃取

3）维护数据的完整性，确保数据在传输过程中不被改变

HTTPS工作原理

HTTP请求过程中，客户端与服务器之间没有任何身份确认的过程，数据全部明文传输，“裸奔”在互联网上，所以很容易遭到黑客的攻击。客户端发出的请求很容易被黑客截获，如果此时黑客冒充服务器，则其可返回任意信息给客户端，而不被客户端察觉。

HTTP传输面临的风险有：

窃听风险：黑客可以获知通信内容。
篡改风险：黑客可以修改通信内容。
冒充风险：黑客可以冒充他人身份参与通信。

那有没有一种方式既可以安全的获取公钥，又能防止黑客冒充呢？ 那就需要用到终极武器了：SSL 证书（申购）
• 证书：.crt, .pem
• 私钥：.key
• 证书请求文件：.csr

服务器发送了一个SSL证书给客户端，SSL 证书中包含的具体内容有：

（1）证书的发布机构CA

（2）证书的有效期

（3）公钥

（4）证书所有者

（5）签名 ----- 签名就可以理解为是钞票里面的一个防伪标签。

客户端在接受到服务端发来的SSL证书时，会对证书的真伪进行校验，以浏览器为例说明：

1、首先浏览器读取证书中的证书所有者、有效期等信息进行一个一个地校验

2、浏览器开始查找操作系统中已内置的受信任的证书发布机构CA，与服务器发来的证书中的颁发者CA比对，用于校验证书是否为合法机构颁发

3、如果找不到，浏览器就会报错，说明服务器发来的证书时不可信任的

4、如果找到，那么浏览器就会从操作系统中取出颁发者CA的公钥，然后对服务器发来的证书中的得签名进行解密

5、浏览器使用相同的hash算法计算出服务器发来的证书的hash值，将这个计算的hash值与证书中签名做对比

6、对比结果一致，证明服务器发来的证书合法，没有被冒充

7、此时浏览器就可以读取证书中的公钥，用于后续加密

8、client与web协商对称加密算法，client生成对称加密密钥，并使用web公钥加密，发送给web服务器，web服务器使用web私钥解密

9、使用对称加密密钥传输数据，并校验数据的完整性

所以通过发送SSL证书的形式，即解决了公钥获取问题，又解决了黑客冒充问题。HTTPS加密过程也就此形成

相对HTTP，HTTPS传输更加安全

（1） 所有信息都是加密传播，黑客无法窃听。
（2） 具有校验机制，一旦被篡改，通信双方会立刻发现。
（3） 配备身份证书，防止身份被冒充。

HTTPS 缺点：
1. SSL 证书费用很高，以及其在服务器上的部署、更新维护非常繁琐
2. HTTPS 降低用户访问速度（多次握手）
3. 网站改用HTTPS 以后，由HTTP 跳转到 HTTPS 的方式增加了用户访问耗时（多数网站采用302跳转）
4. HTTPS 涉及到的安全算法会消耗 CPU 资源，需要增加大量机器（https访问过程需要加解密）

 两张图带你了解HTTPS原理

 

nginx的HTTPS部署实战

下面我们进行一个简单的实验：要求如图所示

我们选在架构一

第一步：SSL证书申请

1、申请SSL证书之前，我们要先确认我们的域名时合法的，以华为云为例，控制台——域名注册——在域名后面的“更多”中的“产看证书”，查看证书是否合法

2、进入控制台中的云证书管理服务SSL

 

 

 

 第二步：LNMP架构部署 

1.  
   用shell终端连接我们的云服务器，登录云数据库
2.  
   [root@ecs-280855 ~]# yum -y install nginx php php-fpm php-gd php-mysql php-mbstring php-mcrypt php-curl php-intl php-xml php-dom gd
3.  
   [root@ecs-280855 ~]# systemctl start nginx php-fpm
4.  
   [root@ecs-280855 ~]# vim /etc/nginx/conf.d/discuz.conf
5.  
   server {
6.  
   listen 80;
7.  
   server_name www.dianye.xyz;
8.  
   location / {
9.  
   root /html;
10.  
    index index.php;
11.  
    }
12.  
    location ~ \.php$ {
13.  
    root /html;
14.  
    fastcgi_pass 127.0.0.1:9000;
15.  
    fastcgi_index index.php;
16.  
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
17.  
    include fastcgi_params;
18.  
    }
19.  
    }
20.  
    [root@ecs-280855 ~]# mkdir /html
21.  
    上传discuz的zip压缩包到云服务器
22.  
    [root@ecs-280855 ~]# ls
23.  
    Discuz_X3.4_SC_UTF8.zip
24.  
    [root@ecs-280855 ~]# unzip Discuz_X3.4_SC_UTF8.zip
25.  
    [root@ecs-280855 ~]# ls
26.  
    Discuz_X3.4_SC_UTF8.zip upload readme utility
27.  
    [root@ecs-280855 ~]# cp -r upload/* /html
28.  
    [root@ecs-280855 ~]# chmod 777 /html -R
29.  
    重启nginx php-fpm

然后在云数据库上创建对应的数据库discuz和用户"discuz"

 

 

然后在浏览器上访问我们的域名测试能否访问到discuz项目(成功了)

 接下来我们做HTTPS部署和rewrite实现HTTP-->HTTPS 

1.  
   在电脑上找到我们下载的SSL证书，将SSL证书上传到云服务器
2.  
   [root@ecs-280855 ~]# ls
3.  
   Discuz_X3.4_SC_UTF8.zip upload readme
4.  
   scs1650456930233.zip utility
5.  
   [root@ecs-280855 ~]# unzip scs1650456930233.zip
6.  
   [root@ecs-280855 ~]# ls
7.  
   Discuz_X3.4_SC_UTF8.zip scs1650456930233_www.dianye.xyz upload
8.  
   readme scs1650456930233.zip utility
9.  
   [root@ecs-280855 ~]# cd scs1650456930233_www.dianye.xyz
10.  
    [root@ecs-280855 scs1650456930233_www.dianye.xyz]# ls
11.  
    scs1650456930233_www.dianye.xyz_Apache scs1650456930233_www.dianye.xyz_Nginx
12.  
    scs1650456930233_www.dianye.xyz_domain.csr scs1650456930233_www.dianye.xyz_Tomcat
13.  
    scs1650456930233_www.dianye.xyz_IIS
14.  
    [root@ecs-280855 scs1650456930233_www.dianye.xyz]# cd scs1650456930233_www.dianye.xyz_Nginx/
15.  
    [root@ecs-280855 scs1650456930233_www.dianye.xyz_Nginx]# ls
16.  
    scs1650456930233_www.dianye.xyz_server.crt scs1650456930233_www.dianye.xyz_server.key
17.  
    [root@ecs-280855 scs1650456930233_www.dianye.xyz_Nginx]# cp scs1650456930233_www.dianye.xyz_server.key /etc/nginx/www.dianye.xyz_server.key
18.  
    [root@ecs-280855 scs1650456930233_www.dianye.xyz_Nginx]# cp scs1650456930233_www.dianye.xyz_server.crt /etc/nginx/www.dianye.xyz_server.crt
19.  
    [root@ecs-280855 ~]# vim /etc/nginx/conf.d/discuz.conf
20.  
    server {
21.  
    listen 80;
22.  
    server_name www.dianye.xyz;
23.  
    location / {
24.  
    root /html;
25.  
    index index.php;
26.  
    return 301 https://www.dianye.xyz$request_uri;
27.  
    }
28.  
    }
29.  
     
30.  
    server {
31.  
    listen 443 ssl;
32.  
    server_name www.dianye.xyz;
33.  
     
34.  
    ssl_certificate /etc/nginx/www.dianye.xyz_server.crt;
35.  
    ssl_certificate_key /etc/nginx/www.dianye.xyz_server.key;
36.  
    ssl_session_timeout 5m;
37.  
    ssl_protocols SSLv2 SSLv3 TLSv1;
38.  
    ssl_ciphers ALL:!ADH:!EXPORT56:RC4 RSA: HIGH: MEDIUM: LOW: SSLv2: EXP;
39.  
    ssl_prefer_server_ciphers on;
40.  
     
41.  
    location / {
42.  
    root /html;
43.  
    index index.php index.html;
44.  
    }
45.  
    location ~ \.php$ {
46.  
    root /html;
47.  
    fastcgi_pass 127.0.0.1:9000;
48.  
    fastcgi_index index.php;
49.  
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
50.  
    include fastcgi_params;
51.  
    }
52.  
     
53.  
    }
54.  
    [root@ecs-280855 ~]# nginx -s reload

浏览器访问测试（注意：因为我们的域名没有备案，所以浏览器使用域名访问达不到预期效果，我们使用云服务器的公网ip地址访问，虽然结果也会受影响，但是只要HTTP重定向到HTTPS，我们的目的就算到达了）

  

这篇好文章是转载于：学新通技术网