资讯频道 → 行业应用
阅读更多

2顶
0踩

行业应用

转载新闻 【思维导图】深入理解HTTPS原理、过程

2018-03-26 10:57 by 副主编 jihong10102006 评论(0) 有11169人浏览
HTTPS



我们经常会遇到页面被运营商插入小广告这种事情（数据被篡改），可想而知，HTTP是有多么不安全。

如何做到的？
答：只需要设定相应的DNS，做一个中间人攻击，再将修改后的数据返回。

那么：解决上面问题需要考虑哪些因素：

HTTPS的设计的时候就主要考虑了以上的主要因素：
  • 数据加密 --传输内容进行混淆
    • 非对称加密（也叫公钥加密）
    对称加密（也叫密钥加密）
  • 身份验证 --通信双方验证对方的身份真实性
  • 数据完整性保护 --检测传输的内容是否被篡改或伪造
因此切换使用HTTPS，就可以防止页面被运营商篡改问题。
HTTPS概念如下：

简单用图表示：

安全HTTP的实现


数据完整性：

数字签名是只有信息发送者才能产生的别人无法伪造的一段文本，这段文本是对信息发送者发送信息真实性的一个有效证明，具有不可抵赖性。
报文的发送方从报文文本生成一个128位的散列值（或称为报文摘要活哈希值），发送方使用自己的私钥对这个摘要值进行加密来形成发送方的数字签名。
然后这个数字签名将作为报文的附件一起发送给报文的接收方。
报文的接收方首先从接收到的原始报文中计算出128位的散列值，再用发送方的公钥来对报文附加的数字签名进行解密。
如果两次得到的结果是一致的那么接收方可以确认该数字签名是发送方的，同时确认信息是真实的

HTTPS数据交互过程：
HTTP中没有加密机制，可以通过SSL（Secure Socket Layer 安全套接层）或TLS（Transport Layer Security 安全层传输协议）的组合使用，加密HTTP的通信内容。
SSL工作在OSI七层模型中的表示层，TCP/IP 四层模型的应用层。

SSL记录协议操作：
  • 分段 将每个上层消息分解成不大于2^14（16384）位，然后有选择的进行压缩
  • 添加MAC 在压缩数据的基础上计算MAC
  • 加密 消息加上MAC用对称加密方法加密
  • 添加SSL记录头 内容类型（8位），主版本（8位），副版本（8位），压缩长度（16位）
SSL握手过程：

SSL协议两个重要概念，SSL会话，SSL连接；
SSL连接是点到点的连接，而且每个连接都是瞬态的，每一个链接都与一个会话关联。
SSL会话是一个客户端和一个服务器之间的一种关联，会话由握手协议（Handshake Protocol）创建，所有会话都定义了一组密码安全参数，这些安全参数可以在多个连接之间共享，会话可以用来避免每一个链接需要进行的代价高昂的新的安全参数协商过程。
好的，今天的介绍先到这里了哈。
  • 大小: 412 KB
  • 大小: 314.9 KB
  • 大小: 271.4 KB
  • 大小: 237.5 KB
  • 大小: 5.5 KB
  • 大小: 45 KB
  • 大小: 5.4 KB
  • 大小: 18.8 KB
  • 大小: 23.5 KB
来自: 吕一明
2
顶
0
踩
评论 共 0 条 请登录后发表评论

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • .NET开发安全解决方案应用编程

    .NET开发安全解决方案应用编程

  • Asp.net中基于Forms验证的角色验证授权

    Asp.net中基于Forms验证的角色验证授权Asp.net的身份验证有有三种，分别是"Windows | Forms | Passport"，其中又以Forms验证用的最多，也最灵活。Forms 验证方式对基于用户的验证授权提供了很好的支持，可以通过一个登录页面验证用户的身份，将此用户的身份发回到客户端的Cookie，之后此用户再访问这个web应用就会连同这个身份Cooki

  • .net 身份验证方式有哪些及原理

    Asp.net的身份验证有有三种，分别是"Windows | Forms | Passport"，其中又以Forms验证用的最多，也最灵活。       Windows: 使用IIS验证方式       Forms: 使用基于窗体的验证方式       Passport: 采用Passport cookie验证模式       None: 不采用任何验证方式 1、

  • 【ASP.NET Core 基础知识】--安全性--防范常见攻击

    文章通过介绍常见的网络安全威胁，如跨站脚本（XSS）、SQL注入、CSRF等，并提供了相应的防御机制和实践建议。文章首先明确了不同攻击类型的原理和风险，然后详细解释了在ASP.NET Core中如何应对这些攻击，包括输入验证、输出编码、Content Security Policy（CSP）等防御措施。此外，文章还强调了敏感数据泄露的严重性，并提出了相应的保护措施。总的来说，本文全面解析了ASP.NET Core中防范常见攻击的重要性和方法，为开发人员提供了有益的指导和实践经验。

  • Web 应用安全验证标准之一 --身份认证验证点

    No 验证内容 等级 1 2 3 v1.1 验证除了认定可以公开的资源，其它资源需要登录认证后才能访问。 V V V v1.2...

  • 构建Forms验证(砖载)

    构建基于forms的验证机制过程如下：1,设置IIS为可匿名访问和asp.net web.config中设置为form验证2,检索数据存储验证用户，并检索角色(如果不是基于角色可不用)3,使用FormsAuthenticationTicket创建一个Cookie并回发到客户端，并存储角色到票据中，如：FormsAuthentication.SetAuthCookie(Username,true |...

  • ASP.NET的安全模式（身份验证）

    ASP.NET安全模式根据所请求资源的类型，IIS能够自己处理请求，也可以不自己处理请求。如果资源请求一个ASPX页面，则IIS将请求经过身份验证用户（或匿名用户）的安全令牌一起传递给ASP.NET。接下来要发生的事情就取决于ASP.NET的配置。ASP.NET支持3种授权方法：Windows，Passport和Form。表示ASP.NET自己根本不执行身份验证，完全依赖于IIS身份验证。在这种情...

  • asp.net安全性

    引言     构建软件的安全性就像缴税一样，你知道他很重要，你也知道迟早都要做的，但你总是尽量往后拖，最终只有当不得已的时候才会去完成它。构建不安全的应用程序并不一定造成十分严重的后果，但是并不能因此而降低对安全性的要求。在很多应用程序中-特别是WEB应用程序-安全不是一种奢侈品，而是必需的。1.Web安全性    在应用程序级别中，Web安全性是构建安全页面的第一个也是最重要的一个因素，保证页面

  • 微软官方的一些相关asp.net安全的方案

    asp.net安全脚本注入若要避免脚本注入攻击，请遵循以下准则： 采用 HtmlEncode 方法对用户输入进行编码，该方法可将 HTML 转换为文本表示形式（例如，将 转换为 &ltb>），这有助于防止在浏览器中执行标记。 在使用参数对象将用户输入传递给查询时，可以为数据源控件的预查询事件添加处理程序并在这些事件中进

  • ASP.NET（安全模式）

    安全模式一、安全模式的必要性       （1）构造特殊的链接地址，导致文件内的数据泄露       （2）数据库泄露       （3）安全防范的首要策略：所有的HTTP访问都要经过IIS，所以限制IIS的安全性是关键（只有管理员才能登录管理员的界面）二、ASP.NET支持的四种验证             （2）Windows: IIS验证，在内联网环境中非常有用       （2）Passp...

  • ASP.NET 安全验证

    一、ASP.NET 支持的四种验证方式1.Windows: IIS验证，在内联网环境中非常重要。2.Passport: 微软集中式验证，一次登录便可访问所有成员站点，需要收费。3.Form：窗体验证，验证帐号/密码，Web编程最佳最流行的验证方式。4.None：表示ASP.NET自己根本不执行身份验证，完全依赖IIS身份验证。二、Forms元素的属性三、使用1.创建几个页面2.配置文件 3.登录-...

  • ASP.NET网站中的安全问题

          在网络经常看到网站被挂马、主页被修改的新闻，其实这些问题可能是多方面的，服务器，网站程序等等。。。但是现在溢出已经被人们重视和服务器的不断完善，服务器系统漏洞也不是那么容易发掘，当然也要保证第三方的软件安全。做项目也有一段时间了。在程序中也遇到很多安全方面的问题。也该总结一下了。这个项目是一个CMS系统。系统是用ASP.NET做的。开发的时候发现微软做了很多安全措施，只是有些新手程序员

  • ASP.NET网站开发——安全验证

    安全验证一、ASP.NET的安全模式1.安全的必要性：（1）构造特殊的链接地址，导致文件内的数据泄漏。（2）数据库泄露。（3）安全防范的首要策略：所有的HTTP访问都要经过IIS，所以限制IIS的安全性是关键。2.安全模式的概念：根据所请求资源的类型，IIS能够自己处理请求，也可以不自己处理请求。如果资源请求一个ASPX页面，则IIS将请求经过身份验证用户（或匿名用户）的安全令牌一起传递给ASP....

  • App接口之Token令牌实现

    《App接口之Token令牌实现》转载请注明来自 傻小孩b_移动开发（http://www.jianshu.com/users/d388bcf9c4d3）喜欢的可以关注我，不定期总结文章！您的支持是我的动力哈！1、目的众所周知，在web端中，Token（令牌）只是作为防止用户重复提交表单的作用而存在。但是对于App客户端而言，Token却充当着另一种角色，类似现实生活中代表每个人的角色认证、或者类...

  • Streamlit应用程序使用Streamlit-Authenticator进行用户的安全身份验证实践

    在Streamlit官方文档中，没有提供提供安全身份验证组件。本文介绍第三方streamlit-authenticator提供Hashing密码加密、登录窗口认证用户、登出，并进行的实践演示。。

  • 加密算法，令牌

    数据加密-sha1 import hashlib pwd='123456' hash_pwd=hashlib.sha1(pwd.encode()).hexdigest() print(hash_pwd) hash加盐加密 from werkzeug.security import generate_password_hash,check_password_hash pwd='123456' ...

Global site tag (gtag.js) - Google Analytics