文中摘自微信公众平台「三分钟学前面」，创作者sisterAn 。转截文中请联络三分钟学前面微信公众号。
HTTP 协议
HTTP(Hyper Text Transfer Protocol)协议是HTML文件传输协议的简称，它是以WEB网络服务器传输HTML文件标记语言(HTML)到当地电脑浏览器的传输协议，坐落于 OSI 网络模型中的网络层
HTTP 是一个根据TCP/IP通讯协议来传送数据的协议，传输的基本数据类型为 HTML 文档、图片文件、查询记录等。
HTTP协议一般用以 B/S 构架。电脑浏览器做为 HTTP 手机客户端根据 URL 向 HTTP 服务器端即 WEB 服务器发送全部请求。
HTTP 特性
- HTTP 协议适用手机客户端/服务器端方式，也是一种请求/回应方式的协议
- 简易迅速： 顾客向网络服务器请求服务项目时，只需传输请求方式和途径。请求方式常见的有GET、HEAD、POST
- 灵便： HTTP容许传输随意种类的信息目标。传输的种类由Content-Type进行标识。
- 无联接： 限定每一次联接只解决一个请求。网络服务器解决完请求，并接到用户的回复后，即断开，可是却不利手机客户端与网络服务器维持对话联接，为了更好地填补这类不够，造成了二项纪录http情况的技术性，一个称为Cookie,一个叫做Session。
- 无状态： 无状态就是指协议针对事务管理沒有记忆力，后面解决必须前边的信息，则务必重新传输。
HTTP 中间人攻击
HTTP 协议应用的时候的确特别的便捷，可是它存有一个致命性的缺陷：不安全。
我们知道 HTTP 协议中的报文格式全是以明确的形式开展传输，不做一切数据加密，那样会造成中间人攻击
例如：小亮 JAVA 贴吧发帖，內容为 我喜欢JAVA：
被中介人开展进攻，內容调整为 我喜欢PHP
网络服务器接受到的便是不正确的信息：我喜欢PHP
此外，请求信息也易于被监听提取、假冒
如何防止中间人攻击
即然 HTTP 是密文传输，那我家数据加密不就好了
对称加密
对称加密 非常好了解，即数据加密和破译应用的同一个密钥，是 对称性 的。只需保障了密钥的安全性，那全部通讯全过程就可以说具备了安全保密性。
举例说明，你要想登陆某网址，只需事前和它承诺好应用一个对称性密钥，通讯流程中传输的都是用密钥数据加密后的保密，只有你和网址才可以破译。网络黑客即使可以监听，见到的也仅仅错码，由于沒有密钥没法解出密文，因此就保持了安全保密性。
缺陷： 这类加密算法虽然非常好，可是问题就取决于怎么让彼此了解密匙，专业术语叫“密钥互换”。由于传输数据信息全是走的互联网，假如将密匙根据网上的方法传送得话，一旦密匙被捕获就沒有数据加密的含义的。
非对称加密
也叫公匙加密技术，它有两个密钥，一个叫 公匙(public key)，一个叫 公钥(private key)。2个密钥是不一样的，不对称，公匙可以公布给所有人应用，而公钥务必严苛信息保密。
公钥和私钥有一个尤其的 单边 性，尽管都能够用于加密解密，但公匙数据加密后只有用公钥破译，相反，公钥数据加密后也只有用公匙破译。
非对称加密可以处理 密钥互换 的问题。网址密秘存放公钥，在网络上随意派发公匙，你要想登录网站只需用公匙数据加密就可以了，保密只有由公钥持有人才可以破译。而网络黑客由于沒有公钥，因此就没法破译保密。
这类加密算法就可以很好的处理对称加密存在的不足。假定如今两边必须应用对称加密，那麼在这里以前，可以先应用非对称加密互换密匙。
简易步骤如下所示：最先服务器端将公匙发布出来，那麼手机客户端也就了解公匙了。下面手机客户端建立一个密匙，随后根据公匙数据加密高并发赠给服务器端，服务端接受到保密之后根据公钥破译出恰当的密匙，此刻两边就都了解密匙是啥了。
那麼这种做便是肯定安全可靠了没有?
中介人为了更好地相匹配这类加密方法又想到了一个新的破译计划方案，即然拿不上 公钥 ，我便把自己仿真模拟成一个手机客户端和服务端的集合体，
- 在 客户->中介人 的历程中，中介人仿真模拟网络服务器的个人行为 ，那样可以得到客户请求的密文
- 在 中介人->网络服务器 的历程中中介人仿真模拟手机客户端个人行为，那样可以取得网络服务器回应的密文
这一次通讯再度被中介人捕获，中介人自身也仿冒了一对公与私钥，并将公匙发给客户为此来盗取手机客户端转化成的 公钥 ，在取得 公钥 以后就能更好的开展破译了。
或是沒有彻底消除中间人攻击问题，该怎么办喃?下面大家看一下 HTTPS 是怎么解决通信安全隐患的。
HTTPS
HTTPS并不是是网络层的一种新协议，实际上是 HTTP SSL/TLS 的通称
HTTP 和 HTTPS 的差别：
- HTTP 是HTML文件传输协议，信息是密文传输，HTTPS 则是具备安全系数的TLS(SSL)数据加密传输协议
- HTTP 和 HTTPS 应用的是彻底不一样的接口方式，用的接口也不一样，前面一种是80，后面一种是443
- HTTP 的联接非常简单，是无状态的;HTTPS协议是由 HTTP SSL/TLS 协议搭建的可实现数据加密传输、身份验证的互联网协议，比 HTTPS 协议安全性。
SSL/TSL
SSL 即避孕套接层(Secure Sockets Layer)，在 OSI 实体模型中位于第 5 层(会话层)，SSL 发展趋势到 v3 时更名为 TLS(传输层安全性，Transport Layer Security)，宣布规范化，版本信息从 1.0 再次算起，因此 TLS1.0 事实上便是 SSL v3.1。
到今日 TLS 早已發展出了三个版本号，分别是 2006 年的 1.1、2008 年的 1.2 和上年(2018)的 1.3。1.2 版本号用的最普遍
HTTPS 根据了 HTTP 来传输信息，可是信息根据 TLS 协议开展了数据加密
TLS 协议坐落于传输层以上，网络层下。初次开展 TLS 协议传输必须2个 RTT ，下面可以根据 Session Resumption 降低到一个 RTT
在 TLS 中采用了二种加密算法，各自为：对称加密和非对称加密，內容传输的数据加密上应用的是对称加密，非对称加密只功效在资格证书认证环节：
网络服务器是根据 SSL 资格证书来传送 公匙，手机客户端会对 SSL 资格证书开展认证，在其中资格证书验证管理体系便是保证 SSL 安全性的重要，下面大家就来解读下 CA 验证管理体系 ，看一下它是如何防止中间人攻击的?
CA 验证管理体系
国际认证组织
在 CA 验证管理体系中，全部的证件全是由权威部门来授予，而权威部门的 CA 资格证书全是己经在系统中内嵌的，大家把这种资格证书称作CA根证书
审签资格证书
大家将网络服务器转化成的公匙和网站有关信息发给 CA审签组织 ，再由CA审签组织根据服务器发送的有关信息用 CA审签组织 开展加签，从而取得大家网站服务器的资格证书，证书会相应的转化成资格证书信息的 签字 ，并将该 签名 应用 CA审签组织 的公钥开展数据加密获得 资格证书指纹识别 ，而且与上级领导资格证书转化成关联链。
这儿大家把百度搜索的证书下载出来看一下：
能够看见搜百度受信于 GlobalSign G2，一样的 GlobalSign G2 是受信于GlobalSign R1 ，当手机客户端(电脑浏览器)做资格证书校检时，会一级一级的往上做检查，直到最终的 根证书 ，要是没有问题表明服务器证书是可以被信赖的。
怎样认证服务器证书
那麼手机客户端(电脑浏览器)又是怎样对 服务器证书 做校检的呢，最先会根据等级关联寻找上级领导资格证书，根据上级领导资格证书里的 公匙 来对云服务器的 资格证书指纹识别 开展破译获得签字(sign1) ，再根据签字优化算法算出服务器证书的 签字(sign2) ，根据比照 sign1 和 sign2 ，假如相同就表明资格证书是沒有被伪造也不是仿冒的。
那样根据证书的验证管理体系，大家就可以预防了重放攻击进而进行阻拦和改动 HTTP 通信的报文格式。
应用 HTTPS 会被抓包吗?
HTTPS 的数据资料是加锁的，基本下抓包工具代理请求后捉到的包內容是数据加密情况，没法立即查询。
可是，正如前文常说，电脑浏览器只能提醒安全隐患，假如用户受权依然可以打开网址网址，进行请求。因而，只需手机客户端是我们自己的终端设备，大家受权的情形下，便可以建立中介人互联网，而抓包工具就是做为委托人的代理。通常 HTTPS 抓包工具的操作方法是会形成一个证书，用户必须手动式把证书安裝到手机客户端中，随后终端设备进行的全部请求根据该证书进行与抓包工具的互动，随后抓包工具再分享请求到网络服务器，最终把缺少对象的结论在控制面板輸出后再返还给终端设备，进而实现全部请求的闭环控制。
即然 HTTPS 不可以防抓包，那 HTTPS 有哪些实际意义?HTTPS 可以避免用户在不知道的情形下通讯链接被监视，针对积极授信额度的抓包实际操作不是给予安全防护的，由于这种情景用户是早已对风险性知情人。要避免被抓包，必须选用运用级的安全防护，例如选用私有化的对称加密，与此同时搞好挪动端防反汇编结构加固，避免当地优化算法被破译。
汇总
大家由 HTTP 重放攻击的来认识到 HTTP 为什么是不安全的，随后再从安全性防御提到 HTTPS 的基本原理归纳，最终谈一下 HTTPS 抓包问题，期待能让大伙儿对 HTTPS 有一个更难忘的掌握。
参照：
极客时间：透视图HTTP协议书
招聘者：为何HTTPS是可靠的
来源于：https://github.com/Advanced-Frontend/Daily-Interview-Question