安全测试 - HTTPS协议基础

HTTPS（超文本传输协议安全套接字层）或HTTP over SSL是由Netscape开发的一种网络协议。它本身并非一种协议，而是将HTTP叠加在SSL/TLS（安全套接字层/传输层安全）之上。

简而言之，HTTPS = HTTP + SSL

何时需要HTTPS？

当我们浏览网页时，通常使用HTTP协议发送和接收信息。这使得任何人都可以窃听我们计算机和Web服务器之间的通信。很多时候，我们需要交换敏感信息，需要确保其安全并防止未授权访问。

HTTPS协议用于以下场景：

• 银行网站
• 支付网关
• 购物网站
• 所有登录页面
• 电子邮件应用程序

HTTPS的基本工作原理

• HTTPS协议中的服务器需要公钥和签名的证书。

• 客户端请求https://页面

• 使用https连接时，服务器会响应初始连接，并提供Web服务器支持的一系列加密方法。

• 响应中，客户端选择一种连接方法，客户端和服务器交换证书以验证其身份。

• 完成此操作后，Web服务器和客户端在确保两者使用相同的密钥后交换加密信息，然后关闭连接。

• 要托管https连接，服务器必须具有公钥证书，其中包含密钥信息以及对密钥所有者身份的验证。

• 几乎所有证书都由第三方验证，以确保客户端始终安全。