什么是HTTP和HTTPS？它们之间有什么区别？
什么是HTTP和HTTPS？它们之间有什么区别？
HTTP（超文本传输协议）简介
HTTP类似于人们通过明信片与朋友进行信息交流的方式。信息在被写入明信片后会被邮寄出去。接收者可以随时查看明信片上的内容。由于其公开性原因
HTTPS（安全的超文本传输协议）简介
HTTPS类似于你在安全通道上分享重要信息的方式。这个通道是经过加密的安全通道，在此通道上使用特定的安全钥匙才能解读信息内容，并防止未经授权的查看或篡改。
HTTP与HTTPS的主要区别
安全性： * HTTP： 类似于明信片的形式，在这种协议下数据会直接以明文字面的形式传输至服务器端接收方，并且该过程并不需要任何证书进行身份验证或授权认证操作。因此，在这种情况下就很容易受到未经授权的窃听者或篡改者的侵害而无法保证数据的安全性。* HTTPS： 而在另一种协议中使用的则是类似于经过精心封装的密 envelope（密封信），它会通过SSL/TLS加密协议来建立一个基于公钥基础设施的安全通道连接到远程服务器端接收方，并且整个过程中都会经过严格的数字签名认证环节来确保发送方的身份真实性以及信息内容的真实完整性。因此，在这种情况下就会有相应的机制能够确保数据在整个传输过程中的安全性
端口号：
-
HTTP： 采用标准80端口作为通信通道，默认情况下与常见的邮件传输方式进行交互。
-
HTTPS： 采用标准443端口作为安全通信通道，默认情况下与专门的安全通信渠道进行交互。
性能： * HTTP： 无额外的安全措施且运行效率更高；* HTTPS： 涉及必要的加密与解密步骤可能导致较小的性能代价但现代技术已最大程度降低了这一额外负担
证书： 无需证书,如同无需验证身份.
-
HTTP: 需要无密钥交换,如直接通信.
-
HTTPS: 必须使用SSL/TLS协议进行加密认证,如同邮局需核实送件人身份证明.
Search Engine Optimization (SEO)： * HTTP： 搜索引擎可能不一定会优先推荐。
- HTTPS： 搜索引擎（如Google等），通常会选择 HTTPS 网站
为什么HTTPS更安全？
- 数据加密： HTTPS使用对称加密和非对称加密相结合的方式，确保传输的数据不会被第三方窃取或篡改。
- 身份验证： 通过SSL/TLS证书，客户端可以验证服务器的身份，防止中间人攻击。
- 完整性保护： HTTPS使用消息认证码（MAC）来确保数据在传输过程中没有被修改。
进一步深入询问及详细解答
问题 B：HTTPS中的SSL/TLS协议是如何工作的？
回答 B
SSL协议以及TLS协议均被设计用于保障网络通信的安全性。其中TLS被视为SSL的升级版，在安全性方面表现更为卓越，并增添了额外的功能。SS/TL（即SSL/TLS）工作流程通常包括一系列步骤以确保信息传输的安全：首先通过密钥交换机制实现双方身份认证与连接建立；随后的数据传输则会采用加密技术予以保护；最后完成数据完整性校验以确保信息在传输过程中不会受到干扰。这种机制有效地保障了通信过程中的安全性
握手阶段
数据传输阶段： * 对称加密： 通过握手阶段生成的主密钥对实际传输的数据实施加密与解密操作。
- 消息认证码（MAC）： 用于验证数据完整性并防止数据篡改。
SSL/TLS握手过程交互图
以下是改写后的文本
客户端与服务器之间进行通信时
问题 C：SSL/TLS中的证书是如何验证的？
回答 C
SSL/TLS证书类似于一种身份证明文件，在数字世界中被广泛使用。以下是对数字身份认证的具体流程描述：
证书链： * 一般情况下来说，在数字信任体系中，“* 一个有效的数字认证体系通常会采用一种基于信任链的方式来组织各个主体之间的信任关系。“* 这种信任链可以从服务器级别的认证一直到最高权威的CA根认证。“* 在这种架构下，“* 每个中间环节的认证都会由其上级机构进行签名确认。“* 最终，“* 所有的这些层次都可以追溯至这个根级别的CA认证机构。”
根证书存储： * 系统预设一组可信赖的基础根证书，并通过内置机制管理这些资源以实现安全验证功能。当服务器提供的数字签名链路可追溯至任意一组可信赖基础根 certificate时，则确认该服务器上的服务为可信服务。
针对证书吊销的有效验证流程：客户端可通过访问相关服务端点进行查询操作，并获取最新的证书状态信息；这与核实身份证明文件状态的变化原理基本一致
域名匹配： * 客户端会核实证书中的 host name 是否与当前请求的 host name 一致，从而防范钓鱼攻击行为；类似于核实身份证上的姓名是否无误。
证书验证交互图
客户端作为服务提供者通过OCSP/CRLSelf协议获取服务认证所需的电子签名；向第三方发送一份由电子签名CA认证的服务CA电子 сертификat；随后对所提交的CA сертификат chain, 并追溯其根 серtiфikат; 检查该电子签名CA серtiфikат is not revoked; 检查该电子签名CA serum иkiтa domain name与目标 domain name一致; CA serum иkiтa validation process is successful；客户端作为服务提供者通过OCSP/CRLSelf协议获取服务认证所需的电子签名
问题 D：SSL和TLS有什么区别？
回答 D
SSL（Secure Sockets Layer）和TLS（Transport Layer Security）都是用于加密网络通信的重要通信协议，在安全性上有显著差异。其中TLS作为一种增强版的通信协议，在安全性方面也得到了进一步提升，并增加了更多安全特性与改进措施。以下是它们的主要区别：
版本演进：
-
SSL： SSL包含多个子版本（如SSL 2.0和SSL 3.0），这些子版本均暴露出安全缺陷，并被广泛淘汰。
-
TLS： TLS经历了逐步的升级发展过程，并从最初的TLS 1.0一路演进至当前的TLS 1.3，在安全性方面也得到了显著提升。
安全性：
-
SSL: SSLevent已知存在安全漏洞（如SSLevent侧信道攻击），不再建议采用。
-
TLS: TLS 1.2及更高版本通过采用更强的加密算法以提升整体安全性，并且实现了基于完全前向密钥交换的技术实现的PFS特性（即即便私钥泄露也不会影响 past通信的安全性）。
握手过程：
-
SSL： 在SSL协议中，默认情况下会发送双方证书的序列号字段以防止某种攻击方式；
-
TLS： TLS协议通过一次性随机生成密钥并采用非对称加密技术实现了更强的安全性与更高的通信效率；
加密算法：
-
SSL： 基于较古老的加密算法RC4（Recommended Strength Cipher），这些方案已被广泛证明不够安全。
-
TLS： 采用更为现代且强大的加密方案如AES-GCM（Advanced Encryption Standard - Galois/Counter Mode），提供了更高的安全性。
兼容性：
- SSls: 尽管旧系统的SSls仍被广泛采用；但因存在安全隐患而逐渐放弃支持。
- TLS: TLS被视为现代系统的默认协议；普遍接受并被建议采用。