- 在HTTP协议中有可能存在信息窃听或身份伪装等安全问题。
目录 | 第7章 确保Web安全的HTTPS
7.1 HTTP的缺点
7.1.1 通信使用明文可能会被窃听
7.1.2 不验证通信方的身份就可能遭遇伪装
7.1.3 无法证明报文完整性，可能已遭篡改
7.2 HTTP+加密+认证+完整性保护 = HTTPS
7.2.1 HTTP加上加密处理和认证以及完整性保护后即是HTTPS
7.2.3 HTTPS是身披SSL外壳的HTTP
7.2.4 证明公开秘钥正确性的证书
7.2.5 HTTPS的安全通信机制
7.1 HTTP的缺点
7.1.1 通信使用明文(不加密)可能会被窃听
TCP/IP是可能被窃听的网络
- 互联网上的任何角落都存在通信内容被窃听的风险。
- 抓包工具Wireshark可以获取HTTP协议的请求和响应的内容，并对其解析。
加密处理防止被窃听
通信的加密
-
HTTP协议中没有加密机制，但可以通过和SSL(
Secure Socket Layer，安全套接层)或TLS(Transport Layer Security，安全传输层协议)的组合使用，加密HTTP的通信内容。 - 用SSL建立安全通信线路之后，就可以在这条线路上进行HTTP通信了。与SSL组合使用的HTTP被称为
HTTPS(HTTP Secure，超文本传输安全协议)或HTTP over SSL。
内容的加密 - 客户端需要对HTTP报文进行加密处理后再发送请求。
- 诚然，为了做到有效的内容加密，前提是要求客户端和服务器同时具备加密和解密机制。主要应用在Web服务中。
- 有一点必须引起注意，由于该方式不同于SSL或TLS将整个通信线路加密处理，所以内容仍有被篡改的风险。
7.1.2 不验证通信方的身份就可能遭遇伪装
任何人都可发起请求
- 服务器只要接收到请求，不管对方是谁都会返回一个响应（但也仅限于发送端的IP地址和端口号没有被Web服务器设定限制访问的前提下）。
因此不确认通信方，会存在以下各种隐患。
● 无法确定请求发送至目标的Web服务器是否是按真实意图返回响应的那台服务器。有可能是已伪装的Web服务器。
● 无法确定响应返回到的客户端是否是按真实意图接收响应的那个客户端。有可能是已伪装的客户端。
● 无法确定正在通信的对方是否具备访问权限。因为某些Web服务器上保存着重要的信息，只想发给特定用户通信的权限。
● 无法判定请求是来自何方、出自谁手。
● 即使是无意义的请求也会照单全收。无法阻止海量请求下的DoS攻击（Denial of Service，拒绝服务攻击）。
查明对手的证书
- 虽然使用HTTP协议无法确定通信方，但如果使用SSL则可以。SSL不仅提供加密处理，而且还使用了一种被称为证书的手段，可用于确定方。证书由值得信任的第三方机构颁发，用以证明服务器和客户端是实际存在的。另外，伪造证书从技术角度来说是异常困难的一件事。所以只要能够确认通信方（服务器或客户端）持有的证书，即可判断通信方的真实意图。
- 通过使用证书，以证明通信方就是意料中的服务器。这对使用者个人来讲，也减少了个人信息泄露的危险性。
- 另外，客户端持有证书即可完成个人身份的确认，也可用于对Web网站的认证环节。
7.1.3 无法证明报文完整性，可能已遭篡改
接收到的内容可能有误
- 由于HTTP协议无法证明通信的报文完整性，因此，在请求或响应送出之后直到对方接受之前的这段时间内，即使请求或响应的内容遭到篡改，也没有办法获悉。
如何防止篡改
- 虽然有使用
HTTP协议确定报文完整性的方法，但事实上并不便捷、可靠。其中常用的是MD5和SHA-1等散列值校验的方法，以及用来确认文件的数字签名方法。 - 提供文件下载服务的Web网站也会提供相应的以
PGP（Pretty Good Privacy，完美隐私）创建的数字签名及MD5算法生成的散列值。PGP是用来证明创建文件的数字签名，MD5是由单向函数生成的散列值。不论使用哪一种方法，都需要操纵客户端的用户本人亲自检查验证下载的文件是否就是原来服务器上的文件。浏览器无法自动帮用户检查。 - 可惜的是，用这些方法也依然无法百分百保证确认结果正确。因为
PGP和MD5本身被改写的话，用户是没有办法意识到的。