下面是通過wireshark抓取的一個博客網站的登錄請求過程。 服務器處理完請求，並收到客戶的應答後，即斷開連接，但是卻不利於客戶端與服務器保持會話連接，爲了彌補這種不足，產生了兩項記錄http狀態的技術，一個叫做Cookie,一個叫做Session。 這樣的標示除了會影響使用者對於網站的信任度之外，更會影響網站在SEO的排名表現。
- 特別是在某些國家可以控制 CA 根證書的情況下，中間人攻擊一樣可行。
- 交互策略更爲安全，但需要用戶在他們的瀏覽器中安裝個人的證書來進行認證。
- 因此攻擊者可以輕易的發動中間人攻擊, 修改客戶端和服務端傳輸的數據, 甚至在傳輸數據中插入惡意代碼, 導致客戶端被引導至惡意網站被植入木馬。
- 最初，HTTPS是與SSL一起使用的；在SSL逐漸演變到TLS時，HTTPS也由在2000年五月公佈的RFC 2818正式確定下來。
- HTTPS是HTTP協議的安全版本，HTTP協議的數據傳輸是明文的，是不安全的，HTTPS使用了SSL/TLS協議進行了加密處理。
- 圖片來自 演算法圖鑑 – 第 5 章：安全性演算法看來要安全的進行通訊，就需要其他的加密方式；例如 迪菲-赫爾曼密鑰交換，或是我們接下來要談的「公開金鑰加密」。
使用網絡發佈的任意一款抓包工具, 一個新手就有可能獲取到大型網站的用戶信息。 在TLS版本1.2中，服務端發送的證書以明文傳輸，因此中國大陸的防火長城可以對特定網站按照匹配的黑名單證書，檢測到特定證書即執行TCP重置攻擊，從而導致TLS連接無法建立。 TLS版本1.3中服務端證書被加密，然而服務器名稱指示仍未被加密，併成爲防火長城檢測的新手段。
https://ps5.mediatagtw.com/article/mesaprime: 請求報文構成
SSL（Secure Socket Layer，安全套接字層）：1994年爲 Netscape 所研發，SSL 協議位於 TCP/IP 協議與各種應用層協議之間，爲數據通訊提供安全支持。 訪問一個網頁時，瀏覽器會向web服務器發出請求。 此網頁所在的服務器會返回一個包含HTTP狀態碼的信息頭用以響應瀏覽器的請求。
Google為了維持搜尋結果中HTTPS加密實行狀況，在「HTTPS as a ranking signal」表明了會將網站是否為HTTPS列為SEO排名的指標之一。 雖然官方聲稱這個指標的比重只佔不到1％，但是在另一篇網誌「A secure web is here to stay」中，Google提出了一項有趣的統計數據：「在系統默認的情況下，搜尋結果頁（SERP）所顯示的前100名網站當中，有81個網站是使用HTTPS」。 由此可見，HTTP是否轉換為HTTPS，對網站的SEO影響甚大。
https://ps5.mediatagtw.com/article/mesaprime: 瀏覽器實現
現有銀行對外提供的互聯網金融服務中，互聯網門戶類網站和圖片網站主要通過 HTTP對外服務。 其 中門戶網站爲用戶提供金融諮詢和優惠信息等服務，還提供銀行App客戶端、U盾驅動等程序下載服務。 爲提升用戶服務體驗，此類 HTTP 網站還部署了內容分發網絡（Content Delivery Network，CDN），通過 CDN 將用戶需要訪問的信息放到離用戶所在物理地區最近內容服務站點，可以大幅提升互聯網對外服務的獲取速度，提供最佳訪問體驗。 上述 CDN 通常爲基於 HTTP的互聯網應用提供服務，而隨着互聯網環境中的劫持、篡改等訪問安全問題的日趨嚴峻，CDN 提供的網絡分發方案也需要支持 HTTP改造爲 HTTPS 協議。
https://ps5.mediatagtw.com/article/mesaprime: 瀏覽器在使用HTTPS傳輸數據的流程是什麼？
GET是直接添加到URL後面的，直接就可以在URL中看到內容，而POST是放在報文內部的，用戶無法直接看到。 URL 則是用來定位具體的資源的，標示了一個具體的資源位置。 網絡協議是計算機之間爲了實現網絡通信而達成的一種“約定”或者”規則“，有了這種”約定“，不同廠商的生產設備，以及不同操作系統組成的計算機之間，就可以實現通信。 終端數位憑證由中介機構簽發、中介機構的憑證由更上游的中介機構簽發，直到源頭，它的憑證由自己簽發，這樣就形成了一個 信任鏈。 很遺憾的，還是沒辦法；因為通訊的雙方，雖然看得到對方的公鑰，但沒辦法證明這個公鑰是通訊的對方所擁有。
https://ps5.mediatagtw.com/article/mesaprime: 協議層
下面是對 HTTP 到 HTTPS 改造應用和網絡的方案介紹。 關於 HTTP的明文數據傳輸, 攻擊者最常用的攻擊手法就是網絡嗅探, 試圖從傳輸過程當中分析出敏感的數據, 例如管理員對 Web 程序後臺的登錄過程等等, https://ps5.mediatagtw.com/article/mesaprime 從而獲取網站管理權限, 進而滲透到整個服務器的權限。 即使無法獲取到後臺登錄信息, 攻擊者也可以從網絡中獲取普通用戶的隱祕信息, 包括手機號碼, 身份證號碼, 信用卡號等重要資料, https://ps5.mediatagtw.com/article/mesaprime https://ps5.mediatagtw.com/article/mesaprime2025 導致嚴重的安全事故。 進行網絡嗅探攻擊非常簡單, 對攻擊者的要求很低。
https://ps5.mediatagtw.com/article/mesaprime: 加密
HTTPS經由HTTP進行通訊，但利用SSL/TLS來加密封包。 HTTPS開發的主要目的，是提供對網站伺服器的身份認證，保護交換資料的隱私與完整性。 https://ps5.mediatagtw.com/article/mesaprime 這個協議由網景公司（Netscape）在1994年首次提出，隨後擴展到網際網路上。 HTTPS的主要作用是在不安全的網絡上創建一個安全信道，並可在使用適當的加密套件和服務器證書可被驗證且可被信任時，對竊聽和中間人攻擊提供合理的防護。 不過是多了一個「Secure」，究竟會讓這2種傳輸協定產生怎麼樣的差異呢？ 這就得從早期網路的使用目的來看，網際網路在初期的使用目的僅為一個部門內的資料傳輸，因此HTTP作為較早期的傳輸協定，為了求資料傳輸的快速，自然就會省略「加密與解密」的步驟，讓資料以明文傳輸。
https://ps5.mediatagtw.com/article/mesaprime: 瀏覽器在使用HTTPS傳輸數據的流程是什麼？
2017年3月，中國註冊域名總數的0.11％使用HTTPS。 客戶端的瀏覽器根據雙方同意的安全等級，建立會話密鑰，然後利用網站的公鑰將會話密鑰加密，並傳送給網站。 實際使用中，絕大說的網站現在都採用的是https協議，這也是未來互聯網發展的趨勢。
https://ps5.mediatagtw.com/article/mesaprime: 請求報文構成
在某些情形中，被加密資源的URL可僅通過截獲請求和響應的大小推得，這就可使攻擊者同時知道明文（公開的靜態內容）和密文（被加密過的明文），從而使選擇密文攻擊成爲可能。 HTTPS也可被用作客戶端認證手段來將一些信息限制給合法的用戶。 要做到這樣，管理員通常會給每個用戶創建證書（通常包含了用戶的名字和電子郵件地址）。 https://ps5.mediatagtw.com/article/mesaprime 這個證書會被放置在瀏覽器中，並在每次連接到服務器時由服務器檢查。 HTTPS是HTTP協議的安全版本，HTTP協議的數據傳輸是明文的，是不安全的，HTTPS使用了SSL/TLS協議進行了加密處理。 博客登錄抓包可以看到訪問的賬號密碼都是明文傳輸， 這樣客戶端發出的請求很容易被不法分子截取利用，因此，HTTP協議不適合傳輸一些敏感信息，比如：各種賬號、密碼等信息，使用http協議傳輸隱私信息非常不安全。
https://ps5.mediatagtw.com/article/mesaprime: 協議層
在2000年代末至2010年代初，HTTPS開始廣泛使用，以確保各類型的網頁真實，保護帳戶和保持用戶通信，身份和網絡瀏覽的私密性。 Get多用來查詢，請求參數放在url中，不會對服務器上的內容產生作用。 Post用來提交，如把賬號密碼放入body中。 https://ps5.mediatagtw.com/article/mesaprime HTTP不是安全的，而且攻擊者可以通過監聽和中間人攻擊等手段，獲取網站帳戶和敏感信息等。 HTTPS的設計可以防止前述攻擊，在正確配置時是安全的。
https://ps5.mediatagtw.com/article/mesaprime: 瀏覽器實現
但是隨著網路的功能越來越多元，我們有時候會需要在網路上傳輸密碼等極為重要的資訊，若持續使用HTTP就有可能在傳輸的過程中被駭客竊取或是竄改。 （1） 從 HTTP 轉向 HTTPS 的應用改造要點：HTTP 頁面分析評估信息數據安全等級；WEB 頁面訪問改造；站點證書申請和部署；啓用 HTTPS 協議支持，增加 TCP-443 端口，對外服務。 另外,HTTP在傳輸客戶端請求和服務端響應時, 唯一的數據完整性檢驗就是在報文頭部包含了本次傳輸數據的長度, 而對內容是否被篡改不作確認。 因此攻擊者可以輕易的發動中間人攻擊, 修改客戶端和服務端傳輸的數據, 甚至在傳輸數據中插入惡意代碼, 導致客戶端被引導至惡意網站被植入木馬。 因爲TLS在HTTP之下工作，對上層協議一無所知，所以TLS服務器只能爲一個IP地址/端口組合提供一個證書。 這就意味着在大部分情況下，使用HTTPS的同時支持基於名字的虛擬主機是不很現實的。
HTTP雖然使用極爲廣泛, 但是卻存在不小的安全缺陷, 主要是其數據的明文傳送和消息完整性檢測的缺乏, 而這兩點恰好是網絡支付, 網絡交易等新興應用中安全方面最需要關注的。 假想一下：Alice 和 Bob 準備進行通訊，而 Eve 是不懷好意的竊聽者；Alice 把要傳遞的明文經過 Bob 的公鑰進行加密後，再進行傳遞，由於 Bob https://ps5.mediatagtw.com/article/mesaprime2025 的私鑰只有 Bob 擁有，即使 Eve 竊取到了密文，也無法將其解密回明文。 HTTP協議和安全協議同屬於應用層（OSI模型的最高層），具體來講，安全協議工作在HTTP之下，傳輸層之上：安全協議向運行HTTP的進程提供一個類似於TCP的套接字，供進程向其中注入報文，安全協議將報文加密並注入運輸層套接字；或是從運輸層獲取加密報文，解密後交給對應的進程。 嚴格地講，HTTPS並不是一個單獨的協議，而是對工作在一加密連接（TLS或SSL）上的常規HTTP協議的稱呼。 當連接到一個提供無效證書的網站時，較舊的瀏覽器會使用一個對話框詢問用戶是否繼續，而較新的瀏覽器會在整個窗口中顯示警告。