TLS版本1.3中服務端證書被加密，然而服務器名稱指示仍未被加密，併成爲防火長城檢測的新手段。 我們來打個比方，我們用HTTP傳輸資料時就像是上課在傳紙條，每一次經手都有可能被有心的同學打開偷看，更甚至是竄改內容。 現有互聯網環境中仍大約有 65% 的網站使用 HTTP，此部分的互聯網站的用戶訪問會存在很高的安全 隱患，導致信息泄露、木馬植入等情況出現。
- 對於初次接觸的網站經營者與商家，自己操作轉址既耗時又擔心會失敗嗎？
- 但是這個HTTP 1.1版本存在一個很大的問題-明文傳輸（Plaintext/Clear Text），這個問題在互聯網時代的今天是致命的，一旦數據在公共網絡中被第三方截獲，其通信內容輕而易舉地就被竊取了。
- 2017年3月，中國註冊域名總數的0.11％使用HTTPS。
- 我們來打個比方，我們用HTTP傳輸資料時就像是上課在傳紙條，每一次經手都有可能被有心的同學打開偷看，更甚至是竄改內容。
- 瀏覽器作爲HTTP客戶端通過URL向HTTP服務端即WEB服務器發送所有請求。
- TLS版本1.3中服務端證書被加密，然而服務器名稱指示仍未被加密，併成爲防火長城檢測的新手段。
- HTTPS開發的主要目的，是提供對網站伺服器的身份認證，保護交換資料的隱私與完整性。
除了少數特例外，此政策主要關於指定來源伺服器和腳本程式的端點（endpoints）。 相同網絡環境下，HTTPS 協議會使頁面的加載時間延長近 50%，增加 10%到 20%的耗電。 此外，HTTPS 協議還會影響緩存，增加數據開銷和功耗。 HTTP不是安全的，而且攻擊者可以通過監聽和中間人攻擊等手段，獲取網站帳戶和敏感信息等。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 協議層
由此可見，HTTP是否轉換為HTTPS，對網站的SEO影響甚大。 經過之前「網域SEO全面解析」的文章介紹後，相信大家對於網域的構成都有了基礎的認識，而HTTP與HTTPS通常會出現在網址的最前端，用以告訴使用者這個網站所使用的資訊傳遞方式為何。 網路發展至今已與我們的生活緊密結合，不論是查資料、工作甚至是購物，只要連接上網際網路就能輕鬆完成。
- 在大規模用戶訪問應用的場景下，服務器需要頻繁地做加密和解密操作，幾乎每一個字節都需要做加解密，這就產生了服務器成本。
- （1） 從 HTTP 轉向 HTTPS 的應用改造要點：HTTP 頁面分析評估信息數據安全等級；WEB 頁面訪問改造；站點證書申請和部署；啓用 HTTPS 協議支持，增加 TCP-443 端口，對外服務。
- 就像我們郵寄包裹時，雖然是一個封裝好的未掉包的包裹，但必須確定這個包裹不會送錯地方，通過身份校驗來確保送對了地方。
- GET是直接添加到URL後面的，直接就可以在URL中看到內容，而POST是放在報文內部的，用戶無法直接看到。
- 這樣防止了攻擊者嗅探整個登錄過程，獲取到加密的登錄數據之後，不對數據進行解密, 而直接重傳登錄數據包的攻擊手法。
”該基金會也曾製作了Firefox擴展組件來推廣這一建議。 SSL（Secure Socket Layer，安全套接字層）：1994年爲 Netscape 所研發，SSL 協議位於 TCP/IP 協議與各種應用層協議之間，爲數據通訊提供安全支持。 實際使用中，絕大說的網站現在都採用的是https協議，這也是未來互聯網發展的趨勢。 下面是通過wireshark抓取的一個博客網站的登錄請求過程。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 主要作用
證書頒發機構會驗證數字證書持有人和其聲明的爲同一人。 瀏覽器通常都預裝了證書頒發機構的證書，所以他們可以驗證該簽名。 嚴格地講，HTTPS並不是一個單獨的協議，而是對工作在一加密連接（TLS或SSL）上的常規HTTP協議的稱呼。 當連接到一個提供無效證書的網站時，較舊的瀏覽器會使用一個對話框詢問用戶是否繼續，而較新的瀏覽器會在整個窗口中顯示警告。 訪問一個網頁時，瀏覽器會向web服務器發出請求。
建立連接後，客戶機發送一個請求給服務器，請求方式的格式爲：統一資源標識符（URL）、協議版本號，後邊是 MIME 信息包括請求修飾符、客戶機信息和許可內容。 HTTPS 協議是由 HTTP 加上 TLS/SSL 協議構建的可進行加密傳輸、身份認證的網絡協議，主要通過數字證書、加密算法、非對稱密鑰等技術完成互聯網數據傳輸加密，實現互聯網傳輸安全保護。 在TLS版本1.2中，服務端發送的證書以明文傳輸，因此中國大陸的防火長城可以對特定網站按照匹配的黑名單證書，檢測到特定證書即執行TCP重置攻擊，從而導致TLS連接無法建立。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 瀏覽器實現
像是可能大家都有聽過的 https://ps5.mediatagtw.com/article/omoiomoware furifurare2025 凱薩加密法，就是一個非常基本的加密方式：將明文的字母全部位移固定的距離，解密時再位移回來；例如明文是 「EGG」，位移距離（金鑰）為 3，那麼加密後的密文就會是「HJJ」。 一個組織也可能有自己的證書頒發機構，尤其是當設置瀏覽器來訪問他們自己的網站時（如，運行在公司或學校局域網內的網站）。 截至2018年6月，Alexa排名前100萬的網站中有[34.6%使用HTTPS作為預設值，互聯網141387個最受歡迎網站的43.1%具有安全實施的HTTPS，以及45%的頁面載入（透過Firefox紀錄）使用HTTPS。 2017年3月，中國註冊域名總數的0.11％使用HTTPS。 歷史上，HTTPS連接經常用於萬維網上的交易支付和企業信息系統中敏感信息的傳輸。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 加密
這樣的標示除了會影響使用者對於網站的信任度之外，更會影響網站在SEO的排名表現。 Google為了維持搜尋結果中HTTPS加密實行狀況，在「HTTPS as a ranking signal」表明了會將網站是否為HTTPS列為SEO排名的指標之一。 雖然官方聲稱這個指標的比重只佔不到1％，但是在另一篇網誌「A secure web is here to stay」中，Google提出了一項有趣的統計數據：「在系統默認的情況下，搜尋結果頁（SERP）所顯示的前100名網站當中，有81個網站是使用HTTPS」。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: JavaScript 使用 Document.cookie 存取
但你可曾費心留意過，平時瀏覽的那些網站甚至是自家網站的網址開頭是HTTP還是HTTPS？ Google為什麼要鼓勵大家將HTTP轉換為HTTPS？ 跟著本文的介紹，一起瞭解HTTP與HTTPS，並且透過htaccess轉址教學，讓你的網站安全有保障。 可以看到，鑑於電子商務等安全上的需求，HTTPS對比HTTP，在安全方面已經取得了極大的增強。 總結來說，HTTPS的改進點在於創造性的使用了非對稱加密算法，在不安全的網路上，安全的傳輸了用來進行對稱加密的密鑰，綜合利用了非對稱加密的安全性和對稱加密的快速性。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 瀏覽器在使用HTTPS傳輸數據的流程是什麼？
特別是在某些國家可以控制 CA 根證書的情況下，中間人攻擊一樣可行。 很遺憾的，還是沒辦法；因為通訊的雙方，雖然看得到對方的公鑰，但沒辦法證明這個公鑰是通訊的對方所擁有。 網景在1994年創建了HTTPS，並應用在網景導航者瀏覽器中。 最初，HTTPS是與SSL一起使用的；在SSL逐漸演變到TLS時，HTTPS也由在2000年五月公佈的RFC 2818正式確定下來。 GET是直接添加到URL後面的，直接就可以在URL中看到內容，而POST是放在報文內部的，用戶無法直接看到。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 請求報文構成
可以註明 Cookie 的有效或終止時間，超過後 Cookie 將不再發送。 此外，也可以限制 Cookie 不傳送到特定的網域或路徑。 Get多用來查詢，請求參數放在url中，不會對服務器上的內容產生作用。 Post用來提交，如把賬號密碼放入body中。 簡單快速：客戶向服務器請求服務時，只需傳送請求方法和路徑。 CSP 指令 (en-US) Content-Security-Policy (en-US) 回應檔頭讓網站管理員控制哪些頁面上的資源能被用戶端程式（user agent）載入。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 瀏覽器實現
服務器處理完請求，並收到客戶的應答後，即斷開連接，但是卻不利於客戶端與服務器保持會話連接，爲了彌補這種不足，產生了兩項記錄http狀態的技術，一個叫做Cookie,一個叫做Session。 當通訊開始時，Alice 會先傳遞數位憑證給 Bob，而 Bob 便可以透過數位簽章，來證明憑證的內容確實是屬於 Alice 的；如此一來，證明公鑰是屬於誰的問題就被解決了，即使竊聽者想要從中竊聽，也因為憑證頒發機構的數位簽章，竊聽者將無從介入通訊過程。 因此就出現了 憑證頒發機構，例如 Alice 和 Bob 要準備進行通訊；在開始之前，Alice 必須先提供公鑰 & Email，向憑證頒發機構申請憑證，憑證頒發機構核可後，便會透過 數位簽章 https://ps5.mediatagtw.com/article/omoiomoware furifurare 包裹 Alice 提供的資料，製作成 數位憑證。 當然，真實的環境不會用這種很容易被解出來的加密方式，而是會透過例如 AES 等方式進行加密；但兩者同樣的是，都會透過同一個金鑰來進行加密與解密，因此我們把這類的加密方式稱為「共用金鑰加密」，或是「對稱式加密」。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 瀏覽器在使用HTTPS傳輸數據的流程是什麼？
在2000年代末至2010年代初，HTTPS開始廣泛使用，以確保各類型的網頁真實，保護帳戶和保持用戶通信，身份和網絡瀏覽的私密性。 先說大白話的結論：“HTTPS和HTTP都是數據傳輸的應用層協議，區別在於HTTPS比HTTP安全”。 客戶端的瀏覽器根據雙方同意的安全等級，建立會話密鑰，然後利用網站的公鑰將會話密鑰加密，並傳送給網站。
客戶端發送協商請求給服務端, 其中包含自己支持的非對稱加密的密鑰交換算法 ( 一般是RSA), 數據簽名摘要算法 ( 一般是SHA或者MD5) , 加密傳輸數據的對稱加密算法 ( 一般是DES),以及加密密鑰的長度。 服務端接收到消息之後，選中安全性最高的算法，並將選中的算法發送給客戶端，完成協商。 客戶端生成隨機的字符串，通過協商好的非對稱加密算法，使用服務端的公鑰對該字符串進行加密，發送給服務端。 https://ps5.mediatagtw.com/article/omoiomoware furifurare2025 服務端接收到之後，使用自己的私鑰解密得到該字符串。 在隨後的數據傳輸當中，使用這個字符串作爲密鑰進行對稱加密。 關於 HTTP的明文數據傳輸, 攻擊者最常用的攻擊手法就是網絡嗅探, 試圖從傳輸過程當中分析出敏感的數據, 例如管理員對 Web 程序後臺的登錄過程等等, 從而獲取網站管理權限, 進而滲透到整個服務器的權限。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 協議層
不知從什麼時候開始，當我們在輸入我們需要打開的網頁的網址，前面的http變成了https，那麼，https是什麼呢？ Https實質上是http的升級版，彌補了http的不安全性等因素。 最關鍵的是，SSL 證書的信用鏈體系並不安全。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: JavaScript 使用 Document.cookie 存取
它被廣泛用於萬維網上安全敏感的通訊，例如交易支付等方面。 不過是多了一個「Secure」，究竟會讓這2種傳輸協定產生怎麼樣的差異呢？ 這就得從早期網路的使用目的來看，網際網路在初期的使用目的僅為一個部門內的資料傳輸，因此HTTP作為較早期的傳輸協定，為了求資料傳輸的快速，自然就會省略「加密與解密」的步驟，讓資料以明文傳輸。 但是隨著網路的功能越來越多元，我們有時候會需要在網路上傳輸密碼等極為重要的資訊，若持續使用HTTP就有可能在傳輸的過程中被駭客竊取或是竄改。 例如使用者送出了一個請求，經過 TCP 的三次握手之後，資料便能透過 TCP 傳遞給伺服器，並等待伺服器回應；然而這個一來一往的傳輸過程，資料都是 https://ps5.mediatagtw.com/article/omoiomoware furifurare 明文；如果傳遞的過程中有惡意竊聽者，資料便有機會被窺探、盜用。
HTTP https://ps5.mediatagtw.com/article/omoiomoware furifurare2025 遵循標準客戶端—伺服器模式，由客戶端連線以發送請求，然後等待接收回應。 HTTP 是一種無狀態協定，意思是伺服器不會保存任兩個請求間的任何資料 (狀態)。 儘管作為 TCP/IP 的應用層，HTTP 亦可應用於其他可靠的傳輸層 (例如 UDP)，只要不會無聲無息地遺失訊息即可。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 加密
SSL3.0和TLS1.0由於存在安全漏洞，已經很少被使用到。 TLS 1.3 改動會比較大，目前還在草案階段，目前使用最廣泛的是TLS 1.1、TLS 1.2。 503 Server Unavailable – 服務器當前不能處理客戶端的請求，一段時間後可能恢復正常。 HTTP協議是超文本傳輸協議的縮寫，英文是Hyper Text Transfer Protocol。 它是從WEB服務器傳輸超文本標記語言到本地瀏覽器的傳送協議。 How Browsers Work 關於瀏覽器內部實作及 HTTP 通訊協定請求流程的一篇非常詳盡的文章。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 請求報文構成
另外，還有一種安全超文本傳輸協議（S-HTTP）的HTTP安全傳輸實現，但是HTTPS的廣泛應用而成爲事實上的HTTP安全傳輸實現，S-HTTP並沒有得到廣泛支持。 對於 cookie 的使用並沒有法律上或技術上的規定，但可利用 DNT 標頭，指示網頁應用程式關閉頁面的追蹤、或跨站的使用者追蹤。 收到一個 HTTP 請求時，伺服器可以傳送一個 Set-Cookie (en-US) 的標頭和回應。 Cookie 通常存於瀏覽器中，並隨著請求被放在Cookie HTTP 標頭內，傳給同個伺服器。
HTTP 狀態回應碼 HTTP 狀態碼用來表示特定的 HTTP 請求是否已成功完成。 回應分為五類：資訊回應、成功回應、重定向、用戶端錯誤、以及伺服器錯誤。 HTTPS 協議的安全是有範圍的，在黑客攻擊、拒絕服務攻擊和服務器劫持等方面幾乎起不到什麼作用。 https://ps5.mediatagtw.com/article/omoiomoware furifurare （3）身份校驗安全性：保證數據到達用戶期望的目的地。 就像我們郵寄包裹時，雖然是一個封裝好的未掉包的包裹，但必須確定這個包裹不會送錯地方，通過身份校驗來確保送對了地方。 （2）數據完整性：及時發現被第三方篡改的傳輸內容。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: JavaScript 使用 Document.cookie 存取
HTTPS 主要由兩部分組成：HTTP + SSL / TLS，也就是在 HTTP 上又加了一層處理加密信息的模塊。 服務端和客戶端的信息傳輸都會通過 TLS 進行加密，所以傳輸的數據都是加密後的數據。 假想一下：Alice 和 Bob 準備進行通訊，而 Eve 是不懷好意的竊聽者；Alice 把要傳遞的明文經過 Bob 的公鑰進行加密後，再進行傳遞，由於 Bob 的私鑰只有 Bob 擁有，即使 Eve 竊取到了密文，也無法將其解密回明文。 證書可在其過期前被吊銷，通常情況是該證書的私鑰已經失密。 要使一網絡服務器準備好接受HTTPS連接，管理員必須創建一數字證書，並交由證書頒發機構簽名以使瀏覽器接受。
https://ps5.mediatagtw.com/article/omoiomoware furifurare: 加密
這個協議由網景公司（Netscape）在1994年首次提出，隨後擴展到網際網路上。 部署 HTTPS 後，因爲 HTTPS 協議的工作要增加額外的計算資源消耗，例如 SSL 協議加密算法和 SSL 交互次數將佔用一定的計算資源和服務器成本。 在大規模用戶訪問應用的場景下，服務器需要頻繁地做加密和解密操作，幾乎每一個字節都需要做加解密，這就產生了服務器成本。 隨着雲計算技術的發展，數據中心部署的服務器使用成本在規模增加後逐步下降，相對於用戶訪問的安全提升，其投入成本已經下降到可接受程度。 ① 客戶端的瀏覽器首先要通過網絡與服務器建立連接，該連接是通過TCP 來完成的，一般 TCP 連接的端口號是80。
客戶端檢查服務端證書，確認是否由自己信任的證書籤發機構簽發。 如果不是，將是否繼續通訊的決定權交給用戶選擇 ( 注意，這裏將是一個安全缺陷 )。 如果檢查無誤或者用戶選擇繼續，則客戶端認可服務端的身份。 圖片來自 演算法圖鑑 – 第 5 章：安全性演算法看來要安全的進行通訊，就需要其他的加密方式；例如 迪菲-赫爾曼密鑰交換，或是我們接下來要談的「公開金鑰加密」。