一文了解HTTPS与 HTTP的区别及其工作原理

HTTP与HTTPS是用于网络数据传输的两种协议，主要区别在于安全性，HTTPS通过SSL/TLS加密数据传输，而HTTP以明文传输；工作原理上，HTTPS在HTTP基础上增加了SSL/TLS握手和加密传输步骤。 以下是对两者的详细介绍：

• 定义：HTTP（HyperText Transfer Protocol：超文本传输协议）是一种用于分布式、协作式和超媒体信息系统的应用层协议，简单来说就是一种发布和接收HTML页面的方法，被用于在Web浏览器和网站服务器之间传递信息。

• 端口：HTTP默认工作在TCP协议80端口，用户访问网站以http://打头的都是标准HTTP服务。

• 传输方式：HTTP协议以明文方式发送内容，不提供任何方式的数据加密。如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息。因此，HTTP协议不适合传输一些敏感信息，比如信用卡号、密码等支付信息。

• TCP三次握手建立连接过程：

  第一次握手：客户端尝试连接服务器，向服务器发送syn包（同步序列编号Synchronize Sequence Numbers），syn=j，客户端进入SYN_SEND状态等待服务器确认。

  第二次握手：服务器接收客户端syn包并确认（ack=j+1），同时向客户端发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态。

  第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ack=k+1），此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。

  

• 定义：HTTPS（Hypertext Transfer Protocol Secure：超文本传输安全协议）是一种透过计算机网络进行安全通信的传输协议。HTTPS经由HTTP进行通信，但利用SSL/TLS来加密数据包，开发的主要目的是提供对网站服务器的身份认证，保护交换数据的隐私与完整性。

• 端口：HTTPS默认工作在TCP协议443端口。

• 工作流程：

  客户端发起HTTPS请求：用户在浏览器里输入一个HTTPS网址，连接到服务器的443端口。

  服务端的配置：采用HTTPS协议的服务器必须要有一套数字证书，可以自己制作，也可以向组织申请。区别是自己颁发的证书需要客户端验证通过才可以继续访问，而使用受信任的公司申请的证书则不会弹出提示页面。这套证书其实就是一对公钥和私钥。

  传送证书：传送公钥，证书包含了很多信息，如证书的颁发机构，过期时间等。

  客户端解析证书：由客户端的TLS来完成，首先会验证公钥是否有效，比如颁发机构，过期时间等，如果发现异常，则会弹出一个警告框，提示证书存在问题。如果证书没有问题，那么就生成一个随机值，然后用证书对该随机值进行加密。

  传送加密信息：传送用证书加密后的随机值，目的是让服务端得到这个随机值，以后客户端和服务端的通信就可以通过这个随机值来进行加密解密了。

  服务端解密信息：服务端用私钥解密后，得到了客户端传过来的随机值，然后把内容通过该值进行对称加密。

  传输加密后的信息：这部分信息是服务端用私钥加密后的信息，可以在客户端被还原。

  客户端解密信息：客户端用之前生成的私钥解密服务端传过来的信息，获取解密后的内容，整个过程第三方即使监听到了数据，也束手无策。

  

• 安全性：

  HTTP：明文传输，数据都是未加密的，安全性较差。

  HTTPS：（SSL+HTTP）数据传输过程是加密的，安全性较好。

• 证书申请：使用HTTPS协议需要到CA（Certificate Authority，数字证书认证机构）申请证书，一般免费证书较少，因而需要一定费用。
• 页面响应速度：HTTP页面响应速度比HTTPS快，主要是因为HTTP使用TCP三次握手建立连接，客户端和服务器需要交换3个包，而HTTPS除了TCP的三个包，还要加上ssl握手需要的9个包，所以一共是12个包。
• 连接方式与端口：HTTP和HTTPS使用的是完全不同的连接方式，端口也不一样，前者是80，后者是443。
• 资源耗费：HTTPS其实是建构在SSL/TLS之上的HTTP协议，所以HTTPS比HTTP要更耗费服务器资源。