HTTP 到 HTTPS 的轉向可以幫助企業網提升用 戶訪問安全水平，特別是對於有敏感信息保存和提供金融交易等服務的企業更有幫助。 Google、Facebook 和國內諸多大型互聯網公司應用已經全面支持 HTTPS，並且蘋果和谷歌兩大公司也在積極推動 HTTPS 擴大應用 範圍，對 HTTPS 協議在全球網站的部署進度起到加速作用。 部署 HTTPS 後，因爲 HTTPS 協議的工作要增加額外的計算資源消耗，例如 SSL 協議加密算法和 SSL 交互次數將佔用一定的計算資源和服務器成本。 在大規模用戶訪問應用的場景下，服務器需要頻繁地做加密和解密操作，幾乎每一個字節都需要做加解密，這就產生了服務器成本。 隨着雲計算技術的發展，數據中心部署的服務器使用成本在規模增加後逐步下降，相對於用戶訪問的安全提升，其投入成本已經下降到可接受程度。 HTTPS 全名 超文本傳輸安全協定，那個 S 就是 Secure 的意思；HTTPS 透過 HTTP 進行通訊，但通訊過程使用 SSL/TLS 進行加密，藉由類似於前述的加密方式，在 HTTP 之上定義了相對安全的資料傳輸方法。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 主要作用
今天從加密的方式出發，考慮每種加密通訊過程中可能受到的攻擊，逐步演變成現今最普遍的加密方式，並藉此來說明 HTTP 與 HTTPS 之間的差異，希望能幫助讀者您理解網路通訊中最基礎的安全知識。 當通訊開始時，Alice 會先傳遞數位憑證給 Bob，而 Bob 便可以透過數位簽章，來證明憑證的內容確實是屬於 Alice 的；如此一來，證明公鑰是屬於誰的問題就被解決了，即使竊聽者想要從中竊聽，也因為憑證頒發機構的數位簽章，竊聽者將無從介入通訊過程。 因此就出現了 憑證頒發機構，例如 Alice 和 Bob 要準備進行通訊；在開始之前，Alice 必須先提供公鑰 & Email，向憑證頒發機構申請憑證，憑證頒發機構核可後，便會透過 數位簽章 包裹 Alice 提供的資料，製作成 數位憑證。 HTTP 全名是 超文本傳輸協定（HyperText Transfer Protocol），內容只規範了客戶端請求與伺服器回應的標準，實際上是藉由 TCP 作為資料的傳輸方式。 自2018年起，Firefox及Chromium（以及Google Chrome、Microsoft Edge）調整了其顯示網站域名及其安全程度的方式，包括不再突出顯示HTTPS協定下的網頁及將非HTTPS協定下的網頁標註為不安全。 電子前線基金會曾經建議「在理想的世界中，任何網路請求都能預設為HTTPS的。」該基金會也曾製作了Firefox擴充組件來推廣這一建議。
- HTTP雖然使用極爲廣泛, 但是卻存在不小的安全缺陷, 主要是其數據的明文傳送和消息完整性檢測的缺乏, 而這兩點恰好是網絡支付, 網絡交易等新興應用中安全方面最需要關注的。
- 像是 惡意使用者偽裝成公用無線網路來釣魚，當使用者連上之後，便可以擷取封包，窺探傳輸的內容；再說，即使扣除掉這種不知名的免費無線網路，你也沒辦法確認網路連線到目標伺服器的路上，每個節點都不會窺探、側錄你所傳遞的資料。
- 在2018年時，Google更做了一次大幅改版，要求所有在他們搜尋結果底下的網站都「建議」使用HTTPS，如果沒有使用的話，將會跳出警告標語，讓使用者看到之後為之卻步，不敢使用你的網站。
- 戰國策提供你SSL安全憑證安裝的服務，我們擁有4種類型的SSL憑證，能夠讓客戶選擇最適合網站所需的類型，讓您的網站加上HTTPS的SSL安全憑證，減少潛在的網安威脅、提高顧客購買的信心，立即詢問相關方案，讓你的網站更上層樓。
- 互動策略更為安全，但需要使用者在他們的瀏覽器中安裝個人的憑證來進行認證。
雖然HTTPS這樣的技術早在2008年就有了，但當時並未普及。 https://ps5.mediatagtw.com/article/dichtiengvietsangtieng 直到2010年開始發生駭客入侵網站竊取帳號的事件，這引起Google的重視，所以從那時候開始Google網站就使用HTTPS進行資料傳輸。 但是HTTPS在剛推出的時候有個缺點，就是因為加密需要運算的資料較多，導致網路速度變得很慢。 因此後來才又發明金鑰功能，讓網路資料在進行傳輸時既安全、速度也不會太慢。 由於非對稱加密的運算量較高，傳遞回應較慢；實際的架構上，會透過公開金鑰加密傳遞出共用的金鑰，再透過共用金鑰加密進行後續的傳遞，兼顧了安全性及傳遞速度。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 瀏覽器實作
當然，真實的環境不會用這種很容易被解出來的加密方式，而是會透過例如 AES 等方式進行加密；但兩者同樣的是，都會透過同一個金鑰來進行加密與解密，因此我們把這類的加密方式稱為「共用金鑰加密」，或是「對稱式加密」。 加密 指的是把明文資料轉換成無法讀取的內容 – 密文，並且密文能藉由特定的解密過程，將其回復成明文。 歷史上，HTTPS連接經常用於全球資訊網上的交易支付和企業訊息系統中敏感訊息的傳輸。 在2000年代末至2010年代初，HTTPS開始廣泛使用，以確保各類型的網頁真實，保護帳戶和保持使用者通信，身分和網路瀏覽的私密性。 對於 cookie 的使用並沒有法律上或技術上的規定，但可利用 DNT 標頭，指示網頁應用程式關閉頁面的追蹤、或跨站的使用者追蹤。
- 因此就出現了 憑證頒發機構，例如 Alice 和 Bob 要準備進行通訊；在開始之前，Alice 必須先提供公鑰 & Email，向憑證頒發機構申請憑證，憑證頒發機構核可後，便會透過 數位簽章 包裹 Alice 提供的資料，製作成 數位憑證。
- 服務端接收到消息之後，選中安全性最高的算法，並將選中的算法發送給客戶端，完成協商。
- 可以註明 Cookie 的有效或終止時間，超過後 Cookie 將不再發送。
- HTTP 全名是 超文本傳輸協定（HyperText Transfer Protocol），內容只規範了客戶端請求與伺服器回應的標準，實際上是藉由 TCP 作為資料的傳輸方式。
- HTTP不是安全的，而且攻擊者可以透過監聽和中間人攻擊等手段，取得網站帳戶和敏感訊息等。
上述 CDN 通常爲基於 HTTP的互聯網應用提供服務，而隨着互聯網環境中的劫持、篡改等訪問安全問題的日趨嚴峻，CDN 提供的網絡分發方案也需要支持 HTTP改造爲 HTTPS 協議。 下面是對 HTTP 到 HTTPS 改造應用和網絡的方案介紹。 客戶端和服務端在開始傳輸數據之前，會協商傳輸過程需要使用的加密算法。 https://ps5.mediatagtw.com/article/dichtiengvietsangtieng 客戶端發送協商請求給服務端, 其中包含自己支持的非對稱加密的密鑰交換算法 ( 一般是RSA), 數據簽名摘要算法 ( 一般是SHA或者MD5) , 加密傳輸數據的對稱加密算法 ( 一般是DES),以及加密密鑰的長度。 服務端接收到消息之後，選中安全性最高的算法，並將選中的算法發送給客戶端，完成協商。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: JavaScript 使用 Document.cookie 存取
終端數位憑證由中介機構簽發、中介機構的憑證由更上游的中介機構簽發，直到源頭，它的憑證由自己簽發，這樣就形成了一個 信任鏈。 很遺憾的，還是沒辦法；因為通訊的雙方，雖然看得到對方的公鑰，但沒辦法證明這個公鑰是通訊的對方所擁有。 網景在1994年建立了HTTPS，並應用在網景領航員瀏覽器中。 最初，HTTPS是與SSL一起使用的；在SSL逐漸演變到TLS時，HTTPS也由在2000年五月公佈的RFC 2818正式確定下來。 另外，還有一種安全超文本傳輸協定（S-HTTP）的HTTP安全傳輸實作，但是HTTPS的廣泛應用而成為事實上的HTTP安全傳輸實作，S-HTTP並沒有得到廣泛支援。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 主機服務介紹
假想一下：Alice 和 Bob 準備進行通訊，而 Eve 是不懷好意的竊聽者；Alice 把要傳遞的明文經過 Bob 的公鑰進行加密後，再進行傳遞，由於 Bob 的私鑰只有 Bob 擁有，即使 Eve 竊取到了密文，也無法將其解密回明文。 互動策略更為安全，但需要使用者在他們的瀏覽器中安裝個人的憑證來進行認證。 HTTPS也可被用作客戶端認證手段來將一些訊息限制給合法的使用者。 要做到這樣，管理員通常會給每個使用者建立憑證（通常包含了使用者的名字和電子郵件位址）。 這個憑證會被放置在瀏覽器中，並在每次連接到伺服器時由伺服器檢查。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 建立 cookies
但是這個HTTP 1.1版本存在一個很大的問題-明文傳輸（Plaintext/Clear Text），這個問題在互聯網時代的今天是致命的，一旦數據在公共網絡中被第三方截獲，其通信內容輕而易舉地就被竊取了。 這樣的標示除了會影響使用者對於網站的信任度之外，更會影響網站在SEO的排名表現。 Google為了維持搜尋結果中HTTPS加密實行狀況，在「HTTPS as a ranking signal」表明了會將網站是否為HTTPS列為SEO排名的指標之一。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 協定層
這就是因為HTTP雖然可以傳輸資料，卻沒有完善的安全機制，讓有心人士有機可趁。 讓我們舉個生活化的例子，假如助理要上傳文件到雲端給主管審核，流程便會是：助理上傳文件(發出請求)→經過TCP傳送資料到伺服器→抵達網路→主管開啟或下載檢視。 像是可能大家都有聽過的 凱薩加密法，就是一個非常基本的加密方式：將明文的字母全部位移固定的距離，解密時再位移回來；例如明文是 「EGG」，位移距離（金鑰）為 3，那麼加密後的密文就會是「HJJ」。 截至2018年6月，Alexa排名前100萬的網站中有[34.6%使用HTTPS作為預設值，網際網路141387個最受歡迎網站的43.1%具有安全實施的HTTPS，以及45%的頁面載入（透過Firefox紀錄）使用HTTPS。 2017年3月，中國註冊域名總數的0.11％使用HTTPS。 收到一個 HTTP https://ps5.mediatagtw.com/article/dichtiengvietsangtieng https://ps5.mediatagtw.com/article/dichtiengvietsangtieng 請求時，伺服器可以傳送一個 https://ps5.mediatagtw.com/article/dichtiengvietsangtieng Set-Cookie (en-US) 的標頭和回應。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 加密
Https實質上是http的升級版，彌補了http的不安全性等因素。 特別是在某些國家可以控制 CA 根證書的情況下，中間人攻擊一樣可行。 相同網絡環境下，HTTPS 協議會使頁面的加載時間延長近 50%，增加 10%到 20%的耗電。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 瀏覽器實作
給予使用者一個安全的網站，顧客對於你的品牌與企業才會產生信任感。 對於初次接觸的網站經營者與商家，自己操作轉址既耗時又擔心會失敗嗎？ 有HTTP轉換HTTPS的需求，建議可以尋求專家的幫助。 戰國策提供你SSL安全憑證安裝的服務，我們擁有4種類型的SSL憑證，能夠讓客戶選擇最適合網站所需的類型，讓您的網站加上HTTPS的SSL安全憑證，減少潛在的網安威脅、提高顧客購買的信心，立即詢問相關方案，讓你的網站更上層樓。 雖然HTTPS在資料傳輸上比較安全，但並不是每個網站都需要使用者輸入資料，為什麼現今會掀起一股HTTP轉換HTTPS的浪潮呢？ ① 客戶端的瀏覽器首先要通過網絡與服務器建立連接，該連接是通過TCP 來完成的，一般 TCP 連接的端口號是80。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 建立 cookies
有鑑於HTTP傳輸協定發生太多資料被竊取的案例，因此後來衍生出HTTPS，全名為「超文本傳輸安全協定 」。 HTTPS基本上同樣是資料傳輸的工具，但在傳輸過程中是使用SSL或TLS，多了一道加密的手續，如此一來就算有心人士要竊取，看到的也只是加密符號或一堆亂碼而已。 HTTP跟HTTPS近年來在網路界中討論度非常高的話題，不只是工程師、網路管理者需要具備的基本常識，就連使用者也要知道兩者究竟有什麼差異，因為這牽涉到資訊安全和隱私的部分。
https://ps5.mediatagtw.com/article/dichtiengvietsangtieng: 主要作用
舉例來說，它記住了無狀態（stateless） (en-US)HTTP 協議的有狀態資訊。 HTTPS 協議是由 SSL+HTTP構建的可進行加密傳輸、身份認證的網絡協議，要比 HTTP安全，可防止數據在傳輸過程中被竊取、改變，確保數據的完整性。 HTTP雖然使用極爲廣泛, 但是卻存在不小的安全缺陷, 主要是其數據的明文傳送和消息完整性檢測的缺乏, 而這兩點恰好是網絡支付, 網絡交易等新興應用中安全方面最需要關注的。 HTTPS （全稱：Hypertext Transfer Protocol Secure），是以安全爲目標的 HTTP 通道，在HTTP的基礎上通過傳輸加密和身份認證保證了傳輸過程的安全性。 HTTPS 在HTTP 的基礎下加入SSL，HTTPS 的安全基礎是 SSL，因此加密的詳細內容就需要 SSL。