HTTP有哪些风险？是怎么解决的？

HTTP有哪些风险？是怎么解决的？

引用

CSDN

1.

https://m.blog.csdn.net/m0_53140426/article/details/143991656

HTTP协议在传输数据时存在诸多安全风险，如数据窃听、篡改和冒充等。为了解决这些问题，HTTPS协议通过在HTTP下层添加SSL/TLS层，采用混合加密、数字签名和数字证书等技术手段，有效提升了数据传输的安全性。本文将详细介绍这些安全风险及其解决方案。

一、HTTP的安全风险

HTTP协议在传输数据时存在以下主要风险：

1. 窃听风险：由于HTTP采用明文传输，数据容易被第三方监听和获取。
2. 篡改风险：传输中的数据可能被恶意修改，导致信息失真。
3. 冒充风险：攻击者可能冒充合法服务器或客户端，进行欺诈活动。

二、HTTPS的解决方案

HTTPS通过在HTTP协议下层添加SSL/TLS层，采用以下技术手段来解决上述安全风险：

（1）混合加密

混合加密结合了对称加密和非对称加密的优点：

• 对称加密：发送方和接收方使用同一个密钥进行加密和解密，加密过程简单，速度较快。
• 非对称加密：使用公钥和私钥对，公钥加密的消息可以用私钥解密，私钥加密的消息可以用公钥解密，加密过程复杂，速度较慢。

HTTPS采用混合加密方式：

• 在通信建立前，使用非对称加密方式交换会话密钥。
• 在通信过程中，全部使用对称加密的会话密钥方式加密明文数据。

例如，服务端给客户端发送服务端公钥，客户端发送用服务端公钥加密后的对称密钥，服务端可以利用自己的私钥解密得到对称密钥，后续就可以使用对称密钥来交换消息。

（2）数字签名

数字签名用于确保数据的完整性和真实性：

1. 发送端计算消息的hash值，使用发送端的私钥加密，得到消息的签名。
2. 发送端将签名和对称密钥加密后的消息传输到接收端。
3. 接收端用对称密钥解密消息，同样的方式计算出hash值。
4. 接收端使用发送端的公钥解密签名，得到另一个值，比较这两个值是否一致。如果是一致，说明消息没有被篡改。

（3）数字证书

数字证书用于防止公钥被冒充：

1. 黑客可能拦截服务端向客户端发送的公钥，并用黑客的公钥向客户端发送消息，导致数据被窃听。
2. 为了解决这个问题，服务端向客户端发送公钥时，需要使用认证机构的私钥对服务端的公钥加密得到证书，将证书发送给客户端。
3. 客户端内置了一些可信任的认证机构的公钥，使用认证机构的公钥对证书进行解密，验证通过后才能拿到服务端的公钥。
4. 证书的申请需要服务方主动去认证机构注册才能生效，而黑客伪造的证书通常没有被认证机构认证，因此解决了公钥被冒充的问题。