迅雷 https

- https（全稱：hypertexttransferprotocoloversecuresocketlayer），是以安全為目標的http通道，簡單講是http的安全版。即http下加入ssl層，https的安全基礎是ssl，因此加密的詳細內容就需要ssl。它是一個urischeme（抽象標識符體係），句法類同http:體係。用於安全的http數據傳輸。https:url表明它使用了http，但https存在不同於http的默認及一個加密身份驗證層（在http與tcp之間）。這個係統的最初研發由網景公司進行，提供了身份驗證與加密通訊方法，現在它被廣泛用於萬維網上安全敏感的通訊，例如交易支付方麵。

它是由scape開發並內置於其瀏覽器中，用於對數據進行壓縮和解壓操作，並返回網絡上傳送回的結果。https實際上應用了scape的安全套接字層（ssl）作為http應用層的子層。（https使用443，而不是象http那樣使用80來和tcpip進行通訊。）ssl使用40位關鍵字作為rc4流加密演算法，這對於商業資訊的加密是合適的。https和ssl支援使用x.509數字認證，如果需要的話用戶可以確認發送者是誰。

也就是說它的主要作用可以分為兩種：一種是建立一個資訊保安通道，來保證數據傳輸的安全；另一種就是確認網站的真實性。

https和http的區彆

一、https協議需要到ca申請證書，一般免費證書很少，需要交費。

二、http是超文字傳輸協議，資訊是明文傳輸，https則是具有安全性的ssl加密傳輸協議。

三、http和https使用的是完全不同的連接方式，用的也不一樣，前者是80，後者是443。

四、http的連接很簡單，是無狀態的；https協議是由ssl http協議構建的可進行加密傳輸、身份認證的網絡協議，比http協議安全。

https解決的問題

一、信任主機的問題.

采用https的服務器必須從ca（certificateauthority）申請一個用於證明服務器用途類型的證書。該證書隻有用於對應的服務器的時候，客戶端纔信任此主機。所以目前所有的銀行係統網站，關鍵部分應用都是https的。客戶通過信任該證書，從而信任了該主機。其實這樣做效率很低，但是銀行更側重安全。這一點對我們冇有任何意義，我們的服務器，采用的證書不管是自己釋出的還是從公眾的地方釋出的，其客戶端都是自己人，所以我們也就肯定信任該服務器。

二、通訊過程中的數據的泄密和被篡改

1.一般意義上的https，就是服務器有一個證書。

a）主要目的是保證服務器就是他聲稱的服務器，這個跟第一點一樣。

b）服務端和客戶端之間的所有通訊，都是加密的。

i.具體講，是客戶端產生一個對稱的密鑰，通過服務器的證書來交換密鑰，即一般意義上的握手過程。

ii.接下來所有的資訊往來就都是加密的。第三方即使截獲，也冇有任何意義，因為他冇有密鑰，當然篡改也就冇有什麼意義了。

2.少許對客戶端有要求的情況下，會要求客戶端也必須有一個證書。

a）這裡客戶端證書，其實就類似表示個人資訊的時候，除了用戶名密碼，還有一個ca認證過的身份。因為個人證書一般來說是彆人無法模擬的，所有這樣能夠更深的確認自己的身份。

b）目前少數個人銀行的專業版是這種做法，具體證書可能是拿u盤（即u盾）作為一個備份的載體。

限製

概述

它的安全保護依賴瀏覽器的正確實現以及服務器軟件、實際加密演算法的支援.

一種常見的誤解是“銀行用戶在線使用https:就能充分徹底保障他們的銀行卡號不被偷竊。”實際上，與服務器的加密連接中能保護銀行卡號的部分，隻有用戶到服務器之間的連接及服務器自身。並不能絕對確保服務器自己是安全的，這點甚至已被攻擊者利用，常見例子是模仿銀行域名的釣魚攻擊。少數罕見攻擊在網站傳輸客戶數據時發生，攻擊者會嘗試竊聽傳輸中的數據。

商業網站被人們期望迅速儘早引入新的特殊處理程式到金融網關，僅保留傳輸碼（transactionnumber）。不過他們常常存儲銀行卡號在同一個數據庫裡。那些數據庫和服務器少數情況有可能被未授權用戶攻擊和損害。

tls1.1之前

這段僅針對tls1.1之前的狀況。因為ssl位於http的下一層，並不能理解更高層協議，通常ssl服務器僅能頒證給特定的ip組合。這是指它經常不能在虛擬主機（基於域名）上與http正常組合成https。

這一點已被即將來臨的tls1.1更新為—種完全支援基於域名的虛擬主機。

ssl介紹

ssl（securesocketlayer）

為scape所研發，用以保障在inter上數據傳輸之安全，利用數據加密（encryption）技術，可確保數據在網絡上之傳輸過程中不會被擷取及竊聽。目前一般通用之規格為40bit之安全標準，美國則已推出128bit之更高安全標準，但限製出境。隻要3.0版本以上之i.e.或scape瀏覽器即可支援ssl。

當前版本為3.0。它已被廣泛地用於web瀏覽器與服務器之間的身份認證和加密數據傳輸。

ssl協議位於tcpip協議與各種應用層協議之間，為數據通訊提供安全支援。ssl協議可分為兩層：ssl記錄協議（sslrecordprotocol）：它建立在可靠的傳輸協議（如tcp）之上，為高層協議提供數據封裝、壓縮、加密等基本功能的支援。ssl握手協議（sslhandshakeprotocol）：它建立在ssl記錄協議之上，用於在實際的數據傳輸開始前，通訊雙方進行身份認證、協商加密演算法、交換加密密鑰等。

ssl協議提供的服務主要有哪些？

1）認證用戶和服務器，確保數據發送到正確的客戶機和服務器

2）加密數據以防止數據中途被竊取

3）維護數據的完整性，確保數據在傳輸過程中不被改變。

ssl協議的工作流程

服務器認證階段：1）客戶端向服務器發送一個開始資訊“hello”以便開始一個新的會話連接；2）服務器根據客戶的資訊確定是否需要生成新的主密鑰，如需要則服務器在響應客戶的“hello”資訊時將包含生成主密鑰所需的資訊；3）客戶根據收到的服務器響應資訊，產生一個主密鑰，並用服務器的公開密鑰加密後傳給服務器；4）服務器恢複該主密鑰，並返回給客戶一個用主密鑰認證的資訊，以此讓客戶認證服務器。

用戶認證階段

在此之前，服務器已經通過了客戶認證，這一階段主要完成對客戶的認證。經認證的服務器發送一個提問給客戶，客戶則返回（數字）簽名後的提問和其公開密鑰，從而向服務器提供認證。

從ssl協議所提供的服務及其工作流程可以看出，ssl協議運行的基礎是商家對消費者資訊保密的承諾，這就有利於商家而不利於消費者。在電子商務初級階段，由於運作電子商務的企業大多是信譽較高的大公司，因此這問題還冇有充分暴露出來。但隨著電子商務的發展，各中小型公司也參與進來，這樣在電子支付過程中的單一認證問題就越來越突出。雖然在ssl3.0中通過數字簽名和數字證書可實現瀏覽器和web服務器雙方的身份驗證，但是ssl協議仍存在一些問題，比如，隻能提供交易中客戶與服務器間的雙方認證，在涉及多方的電子交易中，ssl協議並不能協調各方間的安全傳輸和信任關係。在這種情況下，visa和mastercard兩大信用卡公組織製定了set協議，為網上信用卡支付提供了全球性的標準。

ssl協議的握手過程

為了便於更好的認識和理解ssl協議，這裡著重介紹ssl協議的握手協議。ssl協議既用到了公鑰加密技術又用到了對稱加密技術，對稱加密技術雖然比公鑰加密技術的速度快，可是公鑰加密技術提供了更好的身份認證技術。ssl的握手協議非常有效的讓客戶和服務器之間完成相互之間的身份認證，其主要過程如下：

1客戶端的瀏覽器向服務器傳送客戶端ssl協議的版本號，加密演算法的種類，產生的隨機數，以及其他服務器和客戶端之間通訊所需要的各種資訊。

2服務器向客戶端傳送ssl協議的版本號，加密演算法的種類，隨機數以及其他相關資訊，同時服務器還將向客戶端傳送自己的證書。

3客戶利用服務器傳過來的資訊驗證服務器的合法性，服務器的合法性包括：證書是否過期，發行服務器證書的ca是否可靠，發行者證書的公鑰能否正確解開服務器證書的“發行者的數字簽名”，服務器證書上的域名是否和服務器的實際域名相匹配。如果合法性驗證冇有通過，通訊將斷開；如果合法性驗證通過，將繼續進行第四步。

4用戶端隨機產生一個用於後麵通訊的“對稱密碼”，然後用服務器的公鑰（服務器的公鑰從步驟2中的服務器的證書中獲得）對其加密，然後將加密後的“預主密碼”傳給服務器。

5如果服務器要求客戶的身份認證（在握手過程中為可選），用戶可以建立一個隨機數然後對其進行數據簽名，將這個含有簽名的隨機數和客戶自己的證書以及加密過的“預主密碼”一起傳給服務器。

6如果服務器要求客戶的身份認證，服務器必須檢驗客戶證書和簽名隨機數的合法性，具體的合法性驗證過程包括：客戶的證書使用日期是否有效，為客戶提供證書的ca是否可靠，發行ca的公鑰能否正確解開客戶證書的發行ca的數字簽名，檢查客戶的證書是否在證書廢止列表（crl）中。檢驗如果冇有通過，通訊立刻中斷；如果驗證通過，服務器將用自己的私鑰解開加密的“預主密碼”，然後執行一係列步驟來產生主通訊密碼（客戶端也將通過同樣的方法產生相同的主通訊密碼）。

7服務器和客戶端用相同的主密碼即“通話密碼”，一個對稱密鑰用於ssl協議的安全數據通訊的加解密通訊。同時在ssl通訊過程中還要完成數據通訊的完整性，防止數據通訊中的任何變化。

8客戶端向服務器端發出資訊，指明後麵的數據通訊將使用的步驟7中的主密碼為對稱密鑰，同時通知服務器客戶端的握手過程結束。

9服務器向客戶端發出資訊，指明後麵的數據通訊將使用的步驟7中的主密碼為對稱密鑰，同時通知客戶端服務器端的握手過程結束。

10ssl的握手部分結束，ssl安全通道的數據通訊開始，客戶和服務器開始使用相同的對稱密鑰進行數據通訊，同時進行通訊完整性的檢驗。

證書各部分的含義

如果要啟用ssl通道，那麼需要使用ssl證書來啟用https協議，ssl證書包含資訊：

證書版本號，不同版本的證書格式不同

serialnumber序列號，同一身份驗證機構簽發的證書序列號唯一

algorithmidentifier簽名演算法，包括必要的參數issuer身份驗證機構的標識資訊

periodofvalidity有效期

subject證書持有人的標識資訊

subject’spublickey證書持有人的公鑰

signature身份驗證機構對證書的簽名

證書的格式認證中心所發放的證書均遵循x.509v3標準，其基本格式如下：

證書版本號（certificateformatversion）

含義：用來指定證書格式采用的x.509版本號。

證書序列號（certificateserialnumber）

含義：用來指定證書的唯一序列號，以標識ca發出的所有公鑰證書。

簽名（signature）演算法標識（algorithmidentifier）

含義：用來指定ca簽發證書所用的簽名演算法。

簽發此證書的ca名稱（issuer）

含義：用來指定簽發證書的ca的x.500唯一名稱（dn，disuishedname）。

證書有效期（validityperiod）起始日期（notbefore）終止日期（notafter）

含義：用來指定證書起始日期和終止日期。

用戶名稱（subject）

含義：用來指定證書用戶的x.500唯一名稱（dn，disuishedname）。

用戶公鑰資訊（subjectpublickeyinformation）演算法（algorithm）演算法標識（algorithmidentifier）用戶公鑰（subjectpublickey）

含義：用來標識公鑰使用的演算法，幷包含公鑰本身。

證書擴充部分（擴展域）（extensions）

含義：用來指定額外資訊。

x.509v3證書的擴充部分（擴展域）及實現方法如下：

ca的公鑰標識（authoritykeyidentifier）

公鑰標識（set未使用）（keyidentifier）

簽發證書者證書的簽發者的甄彆名（certificateissuer）

簽發證書者證書的序列號（certificateserialnumber）

x.509v3證書的擴充部分（擴展域）及實現ca的公鑰標識（authoritykeyidentifier）

公鑰標識（set未使用）（keyidentifier）

簽發證書者證書的簽發者的甄彆名（certificat簽發證書者證書的序列號（certificateserialnumber）

含義：ca簽名證書所用的密鑰對的唯一標識用戶的公鑰標識（subjectkeyidentifier）

含義：用來標識與證書中公鑰相關的特定密鑰進行解密。

證書中的公鑰用途（ke玉sage）

含義：用來指定公鑰用途。

用戶的私鑰有效期（privateke玉sageperiod）起始日期（notebefore）終止日期（noteafter）

含義：用來指定用戶簽名私鑰的起始日期和終止日期。

ca承認的證書政策列表（certificatepolicies）

含義：用來指定用戶證書所適用的政策，證書政策可由對象標識符表示。

用戶的代用名（substitutionalname）

含義：用來指定用戶的代用名。

ca的代用名（issueraltname）

含義：用來指定ca的代用名。

基本製約（onstraints）

含義：用來表明證書用戶是最終用戶還是ca。在set係統中有一些私有擴充部分（擴展域）hashedrootkey含義：隻在根證書中使用，用於證書更新時進行回溯。

證書類型（certificatetype）

含義：用來區彆不同的實體。該項是必選的。

商戶數據（merchantdata）

含義：包含支付網關需要的所有商戶資訊。

持卡人證書需求（cardcertrequired）

含義：顯示支付網關是否支援與冇有證書的持卡人進行交易。

set擴展（setextensions）

含義：列出支付網關支援的支付命令的set資訊擴展。

crl數據定義版本（version）

含義：顯示crl的版本號。

crl的簽發者（issuer）

含義：指明簽發crl的ca的甄彆名。

crl釋出時間（thisupdate）預計下一個crl更新時間（nextupdate）撤銷證書資訊目錄（revokedcertificates）crl擴展（crlextension）ca的公鑰標識（authoritykeyidentifier）crl號（crlnumber）

ssl證書種類

ssl證書現在市場上有很多種類，其中應用最為廣泛的品牌為verisign，geotrust，thawte，geotrust與thawte都已經被verisign收購，verisign與其旗下所有證書品牌在中國官方代理為北京天威誠信。-