随着 HTTPS 建站的成本下降，现在大部分的网站都已经开始用上 HTTPS 协议。大家都知道 HTTPS 比 HTTP 安全，也听说过与 HTTPS 协议相关的概念有 SSL 、非对称加密、 CA证书等，但对于以下灵魂三拷问可能就答不上了：
本文将层层深入，从原理上把 HTTPS 的安全性讲透。
HTTPS 的实现原理
大家可能都听说过 HTTPS 协议之所以是安全的是因为 HTTPS 协议会对传输的数据进行加密，而加密过程是使用了非对称加密实现。但其实，HTTPS 在内容传输的加密上使用的是对称加密，非对称加密只作用在证书验证阶段。
HTTPS的整体过程分为证书验证和数据传输阶段，具体的交互过程如下：
证书验证阶段：
数据传输阶段：
为什么数据传输是用对称加密?
首先，非对称加密的加解密效率是非常低的，而 http 的应用场景中通常端与端之间存在大量的交互，非对称加密的效率是无法接受的;
另外，在 HTTPS 的场景中只有服务端保存了私钥，一对公私钥只能实现单向的加解密，所以 HTTPS 中内容传输加密采取的是对称加密，而不是非对称加密。
为什么需要 CA 认证机构颁发证书?
HTTP 协议被认为不安全是因为传输过程容易被监听者勾线监听、伪造 服务器 ，而 HTTPS 协议主要解决的便是网络传输的安全性问题。
首先我们假设不存在认证机构，任何人都可以制作证书，这带来的安全风险便是经典的“中间人攻击”问题。
“中间人攻击”的具体过程如下：
过程原理：
由于缺少对证书的验证，所以客户端虽然发起的是 HTTPS 请求，但客户端完全不知道自己的网络已被拦截，传输内容被中间人全部窃取。
浏览器是如何确保 CA 证书的合法性?
1. 证书包含什么信息?
2. 证书的合法性依据是什么?
首先，权威机构是要有认证的，不是随便一个机构都有资格颁发证书，不然也不叫做权威机构。另外，证书的可信性基于信任制，权威机构需要对其颁发的证书进行信用背书，只要是权威机构生成的证书，我们就认为是合法的。所以权威机构会对申请者的信息进行审核，不同等级的权威机构对审核的要求也不一样，于是证书也分为免费的、便宜的和贵的。
3. 浏览器如何验证证书的合法性?
浏览器发起 HTTPS 请求时，服务器会返回网站的 SSL 证书，浏览器需要对证书做以下验证：
以上任意一步都满足的情况下浏览器才认为证书是合法的。
这里插一个我想了很久的但其实答案很简单的问题：
既然证书是公开的，如果要发起中间人攻击，我在官网上下载一份证书作为我的服务器证书，那客户端肯定会认同这个证书是合法的，如何避免这种证书冒用的情况?
其实这就是非加密对称中公私钥的用处，虽然中间人可以得到证书，但私钥是无法获取的，一份公钥是不可能推算出其对应的私钥，中间人即使拿到证书也无法伪装成合法服务端，因为无法对客户端传入的加密数据进行解密。
4. 只有认证机构可以生成证书吗?
如果需要浏览器不提示安全风险，那只能使用认证机构签发的证书。但浏览器通常只是提示安全风险，并不限制网站不能访问，所以从技术上谁都可以生成证书，只要有证书就可以完成网站的 HTTPS 传输。例如早期的 12306 采用的便是手动安装私有证书的形式实现 HTTPS 访问。
本地随机数被窃取怎么办?
证书验证是采用非对称加密实现，但是传输过程是采用对称加密，而其中对称加密算法中重要的随机数是由本地生成并且存储于本地的，HTTPS 如何保证随机数不会被窃取?
其实 HTTPS 并不包含对随机数的安全保证，HTTPS 保证的只是传输过程安全，而随机数存储于本地，本地的安全属于另一安全范畴，应对的措施有安装杀毒软件、反木马、浏览器升级修复漏洞等。
用了 HTTPS 会被抓包吗?
HTTPS 的数据是加密的，常规下抓包工具代理请求后抓到的包内容是加密状态，无法直接查看。
但是，正如前文所说，浏览器只会提示安全风险，如果用户授权仍然可以继续访问网站，完成请求。因此，只要客户端是我们自己的终端，我们授权的情况下，便可以组建中间人网络，而抓包工具便是作为中间人的代理。通常 HTTPS 抓包工具的使用方法是会生成一个证书，用户需要手动把证书安装到客户端中，然后终端发起的所有请求通过该证书完成与抓包工具的交互，然后抓包工具再转发请求到服务器，最后把服务器返回的结果在控制台输出后再返回给终端，从而完成整个请求的闭环。
既然 HTTPS 不能防抓包，那 HTTPS 有什么意义?
HTTPS 可以防止用户在不知情的情况下通信链路被监听，对于主动授信的抓包操作是不提供防护的，因为这个场景用户是已经对风险知情。要防止被抓包，需要采用应用级的安全防护，例如采用私有的对称加密，同时做好移动端的防反编译加固，防止本地算法被破解。
总结
以下用简短的Q&A形式进行全文总结：
Q: HTTPS 为什么安全?
A: 因为 HTTPS 保证了传输安全，防止传输过程被监听、防止数据被窃取，可以确认网站的真实性。
Q: HTTPS 的传输过程是怎样的?
A: 客户端发起 HTTPS 请求，服务端返回证书，客户端对证书进行验证，验证通过后本地生成用于改造对称加密算法的随机数，通过证书中的公钥对随机数进行加密传输到服务端，服务端接收后通过私钥解密得到随机数，之后的数据交互通过对称加密算法进行加解密。
Q: 为什么需要证书?
A: 防止”中间人“攻击，同时可以为网站提供身份证明。
Q: 使用 HTTPS 会被抓包吗?
A: 会被抓包，HTTPS 只防止用户在不知情的情况下通信被监听，如果用户主动授信，是可以构建“中间人”网络，代理软件可以对传输内容进行解密。
介绍都柏林大学圣三一学院文科类专业有哪些？
【爱尔兰留学网（） - 爱尔兰留学热门专业】介绍都柏林大学圣三一学院文科类专业都柏林大学圣三一学院位于爱尔兰首都都柏林，是1592年英国女王伊丽莎白一世下令兴建的，到18世纪已基本形成目前的规模。 学院占地40英亩，各时期的建筑自成方阵，颇具时代特色。 圣三一学院是一所综合性大学，下设7个分院(Faculty),共有70多个系(Department),科研实力雄厚，是欧洲着名的高等学府之一。 学院下设六个学院，分别为：工程学院，商业经济及社会学院，生命科学院(下设护理分院)，自然科学院，人文学院，文学系。 各系下面设有齐全的本科、研究生、硕士和博士课程。 文科类学生不仅能学一个专业，而且可以同时进修第二专业，最终获得双学士学位。 除特别注明外所有课程几乎均为四年制，同时授予文学学士称号(法学学士、教育学学士、理论学学士及戏剧研究学学士)。 大部分文科类课程都有出国交流学习的机会，尤其是德语、计算机科学、语言学等系。 学生在第三年期间便在国外学习。 ⒈经济学系帮助学生投身商界了解经济规律把握市场动态，进一步了解政策内涵。 各类社会问题的解释以及欧洲一体化是好是坏等。 本学科几乎全设为双学位，学生能学到更多的充实且实用的知识。 在前两年学生可以选一门法语或德语学习，以使他们在第三年期间去欧洲国家学习。 ⒉艺术和美术学系纯艺术类课程。 学生可学到绘画、雕刻等各方面的艺术技能。 从古希腊到最现代的艺术作品都能描模，学习各式风格、各种流派的研究发展历史等。 学生可经常去美术馆、博物馆等实地学习。 本系有出国交流学习计划，学生可去巴黎、柏林、马德里、比萨等地学习。 ⒊法律系这是一个非常抢手，而且就业机会很好的专业。 学生具有极强的记忆力、思考问题和解决问题的能力。 思维缜密，逻辑性强，且语言运用自如。 学生有讨论课程，但更多的时候需要在图书馆度过。 学生须定期写出论文和案例分析。 原文来源：
如何用Fiddler对Android应用进行抓包
Android系统手机端抓包方法有如下：一、抓包准备手机需要先获得root权限。 一种是否获得root权限的检验方法：安装并打开终端模拟器（可通过安卓市场等渠道获得）。 在终端模拟器界面输入su并回车，若报错则说明未root，若命令提示符从$变#则为rooted。 2.如果Android手机尚未root，可通过superoneclick或其它方法进行root处理（需要先安装）。 3.需要先获得AndroidSDK，Android的开发环境。 4.需要获得tcpdump软件。 二、抓包步骤1.将Android手机与电脑USB相连，打开windows命令提示符窗口。 2.将tcpdump程序copy至android手机（该命令前面那个目录文件为本地地址，后面那个目录为目的手机端地址）。 C:\android-sdk-windows\platform-tools>adbpushc:/tcpdump/data/local/tcpdump3.修改tcpdump的权限。 C:\android-sdk-windows\platform-tools>adbshell#chmod777/data/local/tcpdump4.进入root权限C:\android-sdk-windows\platform-tools>adbshell,执行$su,在运行su指令后，手机终端桌面会出现相应提示信息以确认您对root操作的认可。 5.运行tcpdump，输入以下命令启动抓包。 /data/local/tcpdump-p-vv-s0-w/sdcard/。 6.在手机端执行相应需要进行抓包分析的操作，执行完成后在命令提示符窗口执行Ctrl+C中断抓包进程。 7.将抓包结果复制至本地（前面那个目录为手机端地址，后面那个目录为本地地址），C:\android-sdk-windows\platform-tools>adbpull/sdcard/:/8.使用Wireshark等工具查看抓包文件。
美国商学院有哪些优势？
【美国留学网（） - 美国留学国家优势】每年都有很多国际申请者，想要去美国留学读商科。 那么，美国商学院究竟有何优势吸引了这么多的申请者慕名而来呢？下面跟随出国留学网美国留学小编一起去看看。 1、历史悠久毋庸置疑，商学院的教育是由美国首创的。 美国是最早一个开创商学院教育模式的国家，悠久的发展历史形成了今天美国商学院案例分析和理论研究相结合的教育模式，成为全球各大商学院效仿的典范。 2、优质商学院多激烈的竞争是美国商学院不断改革、更新教育模式的动力。 美国高水平的商学院数量远多于世界上的其他国家。 在世界商学院排名中，占靠前的位置。 要想在众多的竞争对手中脱颖而出，就要不断地改革，注入新鲜的血液，更新研究课题，从而使美国商学院能够引领世界最前沿的理论和不断改革出新的教育模式。 3、授课实用性强美国商学院吸引广大国际留学生的一大因素是：教授的授课内容实用性强。 现今美国商学院的学生中，招收的海外学生超过30%，多种文化相互碰撞，形成多元化、多样化的学习环境。 温馨提示：美国商科是留学热门专业，申请人数较多，竞争非常激烈。 因此，学生最好提前规划留学，同时，优异的成绩也是必不可少的。 原文来源：
发表评论