【學習筆記】HTTP和HTTPS

標籤：認證   重要   學習   安全套   伺服器   com   http協議   web伺服器   協議   

HTTP雖然被廣泛應用但是還是存在缺陷：

• 通訊使用明文，內容易被竊聽；
• 不驗證對方身份資訊，身份易被偽裝；
• 無法確保報文完整性，可能遭受篡改。

1.加密處理可以防止被竊聽：

通訊加密

　　HTTP協議通過和SSL（Secure Socket Layer,安全套接層）或TLS（Transport Layer Security,安全層傳輸協議）的組合使用可以加密HTTP通訊內容。

　　與SSL組合使用的HTTP被成為HTTPS

內容加密

　　把HTTP報文內容進行加密處理，。由於通訊線路沒經過加密仍然有被篡改的風險。

 

2.不驗證對方身份資訊身份易被偽裝

• 無法確定請求發送至目標的Web伺服器是否按是真實意圖返迴響應的那台伺服器。可能是偽裝伺服器。
• 無法確定響應返回到的用戶端是否是按真實意圖接受響應的用戶端。有可能是已偽裝的用戶端。
• 無法確定正在通訊的對方是否具備存取權限。因為某些Web伺服器上儲存重要訊息，只想給特定使用者通訊的許可權。
• 無法判定請求來自何方、出自誰手。
• 即使是無意義的請求也照單全收。無法阻止海量請求下的DoS攻擊。

驗證資訊可以通過查明對方的認證的手段來確保對方身份。

 

3.無法確保報文完整性可能遭受篡改

　　HTTP無法保證發出的請求/響應和收到的請求/響應是否一致。也就是說當你下載一個檔案的時候，實際下載到你電腦上的檔案也許和伺服器上的檔案並不一致，這是因為內容在用戶端未察覺的狀態下被篡改了。如此遭受到攔截並篡改的攻擊稱為中間人攻擊（MITM）。

 

HTTP+加密+認證認證+完整性保護=HTTPS

(完)

【學習筆記】HTTP和HTTPS