“網(wǎng)紅”HTTPS加密協(xié)議到底牛在哪兒？

　　相信這些經(jīng)歷你一定不陌生，瀏覽網(wǎng)頁(yè)時(shí)，動(dòng)不動(dòng)就被插了個(gè)“屠龍寶刀”游戲廣告小窗口;明明下載的是文件解壓軟件，下載到本地就變成了殺毒、瀏覽器、播放器軟件;點(diǎn)擊的網(wǎng)頁(yè)鏈接是某企業(yè)官網(wǎng)，打開(kāi)的卻是澳門(mén)博彩網(wǎng)站。

　　這些現象其實(shí)都與網(wǎng)絡(luò )流量劫持有關(guān)，而背后更是隱藏了一場(chǎng)沒(méi)有硝煙的戰爭。在長(cháng)達30多年的互聯(lián)網(wǎng)發(fā)展史中，圍繞HTTP的保衛戰從來(lái)沒(méi)有停止過(guò)。

　　“裸奔”的HTTP世界

　　1982年，Internet(互聯(lián)網(wǎng))這個(gè)名詞，第一次出現在人類(lèi)社會(huì )的定義中。

　　1993年，在大洋彼岸的美國，“互聯(lián)網(wǎng)”開(kāi)始如野草般無(wú)預兆地瘋狂生長(cháng)，并先后誕生了如網(wǎng)景(NetScape)、雅虎(Yahoo)這樣的互聯(lián)網(wǎng)公司。

　　那時(shí)候的互聯(lián)網(wǎng)，建立在底層協(xié)議HTTP之上，一切都是明文傳輸，信息如汪洋大海般自由流淌，這種盛況無(wú)疑是令人悸動(dòng)的。

　　然而，在HTTP明文傳輸的世界里，所有傳輸的數據，包括個(gè)人信息，郵箱密碼、銀行賬號等機密數據都在無(wú)形中“裸奔”，這使得“壞人”竊取也變得輕而易舉。

　　不僅如此，在過(guò)去的30多年中，劫持網(wǎng)頁(yè)流量一直是各路黑客們的鐘愛(ài)，HTTP協(xié)議使得流量在傳輸途中可以隨心所欲地被黑客控制。

　　面對肆無(wú)忌憚的黑客入侵，互聯(lián)網(wǎng)公司們顯然不愿坐以待斃。

　　加密的SSL協(xié)議

　　1994年，NetScape公司設計了SSL協(xié)議(Secure Sockets Layer)的1.0版，但未發(fā)布，其基本思路是利用數據加密技術(shù)，確保數據在客戶(hù)端和服務(wù)器之間的傳輸過(guò)程中，不被截取及竊聽(tīng)。

　　然而，NetScape隨后發(fā)布的SSL2.0版本很快被發(fā)現有嚴重漏洞，直到1996年，SSL3.0版本才通過(guò)驗證，從此得以大規模應用，越來(lái)越多的互聯(lián)網(wǎng)公司加入到SSL協(xié)議的行列中。

　　1999年，互聯(lián)網(wǎng)標準化組織ISOC接替NetScape公司，發(fā)布了SSL的升級版TLS 1.0版。

　　2006年和2008年，TLS進(jìn)行了兩次升級，分別為T(mén)LS 1.1和TLS 1.2。目前，主流瀏覽器都已實(shí)現了TLS 1.2的支持。

　　SSL/TLS協(xié)議的出現，主要解決了HTTP的三大風(fēng)險：

　　(1) 所有信息都是加密傳輸，第三方無(wú)法竊聽(tīng)。

　　(2) 具有校驗機制，一旦被篡改，通信雙方會(huì )立刻發(fā)現。

　　(3) 配備身份證書(shū)，防止身份被冒充

　　其實(shí)，我們會(huì )發(fā)現部分網(wǎng)址的顯示已經(jīng)從Http：//變成了Https：//，多出來(lái)的這個(gè)字母“S”，正是代表該網(wǎng)頁(yè)采用了SSL協(xié)議，可以進(jìn)行加密傳輸，并確保其信息數據安全。

　　簡(jiǎn)單來(lái)說(shuō)，HTTPS=HTTP+SSL。有了SSL的加持，HTTPS比HTTP協(xié)議更安全。

　　那么，HTTPS到底是如何在網(wǎng)站加密傳輸中發(fā)揮作用的呢?

　　“公證”的CA機構及證書(shū)

　　HTTPS使用SSL協(xié)議，是通過(guò)加密的方式將明文變成密文，并在客戶(hù)端和服務(wù)器之間傳遞，這就如同一封投遞出去的“密碼情報”，加密和解密需要發(fā)送方和接受方通過(guò)交換共知的密鑰來(lái)實(shí)現。

　　當然，還有一個(gè)非常重要的前提，“密碼情報”必須傳遞給“對的人”。

　　舉個(gè)例子，如果我向一個(gè)陌生人證明“我就是我”，對方不一定相信。但是如果我拿出自己的身份證，對方立刻就能確認“我就是我”。原因很簡(jiǎn)單，身份證是由國家執法機構頒發(fā)的認證文件，具有權威性和公信力。

　　同樣，在互聯(lián)網(wǎng)世界，也有這樣一個(gè)權威的“公證人”角色，全名叫“數字證書(shū)認證機構(Certificate Authority)”，簡(jiǎn)稱(chēng)CA機構，由它頒發(fā)的SSL認證文件，被稱(chēng)為“SSL證書(shū)”。

　　由權威CA機構頒發(fā)的SSL證書(shū)，就類(lèi)似于互聯(lián)網(wǎng)世界的通行證，將其部署到網(wǎng)站服務(wù)器上，即可實(shí)現網(wǎng)站的身份認證和信息加密傳輸。

　　目前，全球主流的CA機構有Symantec、GeoTrust、DigiCert、Thawte、GlobalSign、RapidSSL等。

　　在中國，獲得工信部設立許可，能夠提供數字證書(shū)的CA機構總共有43家，其中天威誠信是首批由中國工信部批準，且中國唯一一家由DigiCert/Symantec直接授權的CA認證機構，擁有最高的行業(yè)準入標準。

　　不管對于企業(yè)還是個(gè)人用戶(hù)而言，安裝由權威CA機構頒發(fā)的SSL證書(shū)，訪(fǎng)問(wèn)HTTPS加密網(wǎng)站，才是網(wǎng)站的“正確打開(kāi)方式”。