HTTPS（全称：Hypertext Transfer Protocol Secure），是以安全为目标的HTTP通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。HTTPS在HTTP的基础下加入SSL，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。
HTTPS （全称：Hypertext Transfer Protocol Secure ），是以安全为目标的 HTTP 通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。HTTPS 在HTTP 的基础下加入SSL，HTTPS 的安全基础是 SSL，因此加密的详细内容就需要 SSL。 HTTPS 存在不同于 HTTP 的默认端口及一个加密／身份验证层（在 HTTP与 TCP 之间）。这个系统提供了身份验证与加密通讯方法。它被广泛用于万维网上安全敏感的通讯，例如交易支付等方面。
HTTP虽然使用极为广泛， 但是却存在不小的安全缺陷， 主要是其数据的明文传送和消息完整性检测的缺乏， 而这两点恰好是网络支付， 网络交易等新兴应用中安全方面最需要关注的。
关于 HTTP的明文数据传输， 攻击者最常用的攻击手法就是网络嗅探， 试图从传输过程当中分析出敏感的数据， 例如管理员对 Web 程序后台的登录过程等等， 从而获取网站管理权限， 进而渗透到整个服务器的权限。即使无法获取到后台登录信息， 攻击者也可以从网络中获取普通用户的隐秘信息， 包括手机号码， 身份证号码， 信用卡号等重要资料， 导致严重的安全事故。进行网络嗅探攻击非常简单， 对攻击者的要求很低。使用网络发布的任意一款抓包工具， 一个新手就有可能获取到大型网站的用户信息。
另外，HTTP在传输客户端请求和服务端响应时， 唯一的数据完整性检验就是在报文头部包含了本次传输数据的长度， 而对内容是否被篡改不作确认。 因此攻击者可以轻易的发动中间人攻击， 修改客户端和服务端传输的数据， 甚至在传输数据中插入恶意代码， 导致客户端被引导至恶意网站被植入木马 。
延伸阅读：
HTTPS的应用
现有银行对外提供的互联网金融服务中，互联网门户类网站和图片网站主要通过 HTTP对外服务。其 中门户网站为用户提供金融咨询和优惠信息等服务，还提供银行App客户端、U盾驱动等程序下载服务。为提升用户服务体验，此类 HTTP 网站还部署了内容分发网络（Content Delivery Network，CDN），通过 CDN 将用户需要访问的信息放到离用户所在物理地区最近内容服务站点，可以大幅提升互联网对外服务的获取速度，提供最佳访问体验。上述 CDN 通常为基于 HTTP的互联网应用提供服务，而随着互联网环境中的劫持、篡改等访问安全问题的日趋严峻，CDN 提供的网络分发方案也需要支持 HTTP改造为 HTTPS 协议。下面是对 HTTP 到 HTTPS 改造应用和网络的方案介绍。
文章标题：什么是HTTPS，发布者：Flawy，转载请注明出处：https://worktile.com/kb/p/53103
微信扫一扫 
支付宝扫一扫 
