一
HTTP和HTTPS的基本概念
1、HTTP：是互聯網上應用最為廣泛的一種網絡協議，是一個客戶端和服務器端請求和應答的標準（TCP），用于從WWW服務器傳輸超文本到本地瀏覽器的傳輸協議，它可以使瀏覽器更加高效，使網絡傳輸減少。
2、HTTPS：是以安全為目標的HTTP通道，簡單講是HTTP的安全版，即HTTP下加入SSL層，HTTPS的安全基礎是SSL，因此加密的詳細內容就需要SSL。
3、HTTPS協議的主要作用可以分為兩種：一種是建立一個信息安全通道，來保證數據傳輸的安全；另一種就是確認網站的真實性。
二
HTTP 的安全風險
1、隱私泄露
由于 HTTP 本身是明文傳輸，用戶和服務端之間的傳輸內容都能被中間者查看。也就是說 你在網上搜索、購物、訪問的網點、點擊的頁面等信息，都可以被「中間人」獲取。
2、頁面劫持
隱私泄露的風險比較隱蔽，用戶基本感知不到。但另外一類劫持的影響就非常明顯非常直接了——頁面劫持，也就是直接篡改用戶的瀏覽頁面。
三
HTTP劫持分類
根據劫持路徑分類：DNS 劫持、客戶端劫持、鏈路劫持。
如圖
四
HTTPS與Web服務器通信時的幾個步驟
1、客戶使用https的URL訪問Web服務器，要求與Web服務器建立SSL連接。
2、Web服務器收到客戶端請求后，會將網站的證書信息（證書中包含公鑰）傳送一份給客戶端。
3、客戶端的瀏覽器與Web服務器開始協商SSL連接的安全等級，也就是信息加密的等級。
4、客戶端的瀏覽器根據雙方同意的安全等級，建立會話密鑰，然后利用網站的公鑰將會話密鑰加密，并傳送給網站。
5、Web服務器利用自己的私鑰解密出會話密鑰。
6、Web服務器利用會話密鑰加密與客戶端之間的通信。
如圖：
五
HTTPS的優點
1、身份認證
使用HTTPS協議可認證用戶和服務器，確保數據發送到正確的客戶機和服務器
2、內容加密——防竊聽
HTTPS協議是由SSL+HTTP協議構建的可進行加密傳輸、身份認證的網絡協議，要比http協議安全，可防止數據在傳輸過程中不被竊取。
3、一致性校驗——防篡改
通過對數據和共享密鑰的 MAC 碼來防止中間者篡改消息內容，確保數據的一致性。
4、HTTPS網絡傳輸安全系數相對較高，可以大幅增加中間人攻擊的成本。
六
HTTPS的缺點
1、速度慢
(1)、網絡耗時
由于協議的規定，必須要進行的網絡傳輸。比如 SSL 完全握手，302 跳轉等。HTTPS協議握手階段比較費時，會使頁面的加載時間延長近50%，增加10%到20%的耗電。
(2)、計算耗時
無論是客戶端還是服務端，都需要進行對稱加解密，協議解析，私鑰計算，證書校驗等計算，增加大量的計算時間。
2、HTTPS連接緩存不如HTTP高效，會增加數據開銷和功耗，甚至已有的安全措施也會因此而受到影響；
3、成本較高
(1)、服務器成本
HTTPS 的私鑰計算會導致服務端性能的急劇下降，甚至不到 HTTP 協議的十分之一，也就是說，如果 HTTP 的性能是 10000cps，HTTPS 的性能可能只有幾百 cps，會增加數倍甚至數十倍的服務器成本。
(2)、證書成本
根據證書個數及證書類型，一年可能需要花費幾百到幾百萬不等的證書成本。
(3)、開發和運維成本
HTTPS 協議比較復雜，包括協議的配置，證書的更新，過期監控，客戶端的兼容等一系列問題都需要具備專業背景的技術人員跟進處理。
七
HTTPS和HTTP的主要區別
1、https協議需要到ca申請證書，一般免費證書較少，因而需要一定費用。
2、http是超文本傳輸協議，信息是明文傳輸，https則是具有安全性的ssl加密傳輸協議。
3、http和https使用的是完全不同的連接方式，用的端口也不一樣，前者是80，后者是443。
4、http的連接很簡單，是無狀態的；HTTPS協議是由SSL+HTTP協議構建的可進行加密傳輸、身份認證的網絡協議，比http協議安全。
歡迎關注我的公眾號（同步更新文章）：DoNet技術分享平臺
