第七章 确保Web安全的HTTPS
7.1 HTTP的缺点
主要分为三种不足：
- 通信使用明文，内容可能会被窃听
- 不验证通信方的身份，因此有可能遭遇伪装
- 无法证明报文的完整性，所以有可能已遭篡改
7.2 HTTPS
HTTP并非是应用层的一种新协议。只是HTTP通信接口部分用SSL和TLS协议替换。HTTPS采用混合加密机制：
1. 使用公开密匙加密方式安全的交换稍后的共享密匙加密中要使用的密匙。
2. 确保交换的密匙是安全的前提下，使用共享密匙加密方式进行通信。
HTTP+加密+认证+完整性保护=HTTPS
基本过程：
1. 服务器把自己的公开密钥登录至数字证书认证机构
2. 数字证书认证机构用自己的私有秘钥向服务器的公开密码部署数字签名并颁发证书。
3. 客户端拿到服务器的公钥证书后，使用数字证书认证机构的公开密钥，向数字证书认证机构验证公钥证书上的数字签名，已确认服务器的公开密钥的真实性。
4. 使用服务器的公开密钥对报文加密后发送。
5. 服务器用私有秘钥对报文进行解密。
HTTPS的安全通信机制
步骤1：客户端发送Client Hello报文开始SSL通信。报文中包含客户端支持的SSL的指定版本、加密组件（Cipher Suite）列表（所使用的加密算法及密钥长度等）。
步骤2：服务端可进行SSL通信时，会以Server Hello报文作为应答。和客户端一样，在报文中包含SSL版本以及加密组件。服务器的加密组件内容是从接受到客户端加密组件中筛选出来的。
步骤3：之后服务器发送Certifacate报文，报文中包含公开密钥证书。
步骤4：最后服务器发送Server Hello Done 报文通知客户端，最初阶段的SSL握手协商部分结束。
步骤5：SSL第一次握手结束之后，客户端以Client Key Exchange报文作为回应。报文中包含通信加密中使用的一种被称为Pre-master secret 的随机密码串。该报文已用步骤3中的公开密钥进行加密。
步骤6：接着客户端继续发送Change Cipher Spec 报文。该报文会提示服务器，在此报文之后的通信会采用Pre-master secret 密钥加密。
步骤7：客户端发送Finished 报文。该报文包含连接至今全部报文的整体校验值。这次握手协商是否能够成功，要以服务器是否能够正确解密该报文作为判定标准。
步骤8：服务器同样发送Change Cipher Spec 报文。
步骤9：服务器同样发送Finished报文。
步骤10：服务器和客户端的Finished 报文交换完毕之后，SSL连接就算建立完成。当然，通信会受到SSL 的保护。从此开始进行应用层协议的通信，及发送HTTP请求。
步骤11：应用层协议通信，即发送HTTP响应。
步骤12：最后由客户端断开连接。断开连接时，上图做了一些省略，这步之后在发送TCP FIN报文来关闭与TCP的通信。