【什么是ssl协议】

ssl是英文“Secure Sockets Layer”的缩写，中文叫做“安全套接层”，是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。它是在上世纪90年代中期，由网景公司设计的用来解决明文传输协议HTTP存在缺点——比如传输内容会被偷窥(嗅探)和篡改。1999年SSL 应用广泛已经成为互联网上的事实标准。IETF把SSL 标准化。标准化之后的名称改为 TLS(是“Transport Layer Security”的缩写)，中文叫做“传输层安全协议”。很多相关的文章都把这两者并列称呼(SSL/TLS)，因为这两者可以视作同一个东西的不同阶段。SSL协议可分为两层： SSL记录协议(SSL Record Protocol)：它建立在可靠的传输协议(如TCP)之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。 SSL握手协议(SSL Handshake Protocol)：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

【什么是https协议】

HTTPS(全称：Hyper Text Transfer Protocol over Secure Socket Layer)，是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。

【HTTP 协议特点】

1. HTTP 的版本和历史

当前使用的HTTP 协议，版本号是 1.1(也就是 HTTP 1.1)。这个 1.1 版本是1995年底开始起草的(技术文档是 RFC2068)，并在1999年正式发布(技术文档是 RFC2616)。在 1.1 之前，还有曾经出现过两个版本“0.9 和 1.0”，其中的 HTTP 0.9 【没有】被广泛使用，而 HTTP 1.0 被广泛使用过。另外，据说明年(2015)IETF 就要发布HTTP 2.0 的标准了。

2. HTTP 和TCP之间的关系

简单地说，TCP 协议是 HTTP 协议的基石——HTTP 协议需要依靠 TCP 协议来传输数据。在网络分层模型中，TCP 被称为“传输层协议”，而 HTTP 被称为“应用层协议”。有很多常见的应用层协议是以 TCP 为基础的，比如“FTP、SMTP、POP、IMAP”等。

TCP 被称为“面向连接”的传输层协议。传输层主要有两个协议，分别是 TCP 和 UDP。TCP 比 UDP 更可靠。你可以把 TCP 协议想象成某个水管，发送端这头进水，接收端那头就出水。并且 TCP 协议能够确保，先发送的数据先到达(与之相反，UDP 不保证这点)。

3. HTTP 协议如何使用TCP 连接

HTTP 对 TCP 连接的使用，分为两种方式：俗称“短连接”和“长连接”(“长连接”又称“持久连接”，洋文叫做“Keep-Alive”或“Persistent Connection”)

假设有一个网页，里面包含好多图片，还包含好多【外部的】CSS 文件和 JS 文件。在“短连接”的模式下，浏览器会先发起一个 TCP 连接，拿到该网页的 HTML 源代码(拿到 HTML 之后，这个 TCP 连接就关闭了)。然后，浏览器开始分析这个网页的源码，知道这个页面包含很多外部资源(图片、CSS、JS)。然后针对【每一个】外部资源，再分别发起一个个 TCP 连接，把这些文件获取到本地(同样的，每抓取一个外部资源后，相应的 TCP 就断开)

相反，如果是“长连接”的方式，浏览器也会先发起一个 TCP 连接去抓取页面。但是抓取页面之后，该 TCP 连接并不会立即关闭，而是暂时先保持着(所谓的“Keep-Alive”)。然后浏览器分析 HTML 源码之后，发现有很多外部资源，就用刚才那个 TCP 连接去抓取此页面的外部资源。

在 HTTP 1.0 版本，【默认】使用的是“短连接”(那时候是 Web 诞生初期，网页相对简单，“短连接”的问题不大);

到了1995年底开始制定 HTTP 1.1 草案的时候，网页已经开始变得复杂(网页内的图片、脚本越来越多了)。这时候再用短连接的方式，效率太低下了(因为建立 TCP 连接是有“时间成本”和“CPU 成本”滴)。所以，在 HTTP 1.1 中，【默认】采用的是“Keep-Alive”的方式。

【HTTPS 协议需求】

兼容性

因为是先有 HTTP 再有 HTTPS。所以，HTTPS 的设计者肯定要考虑到对原有 HTTP 的兼容性。这里所说的兼容性包括很多方面。比如已有的 Web 应用要尽可能无缝地迁移到 HTTPS;比如对浏览器厂商而言，改动要尽可能小;……

基于“兼容性”方面的考虑，很容易得出如下几个结论：

1. HTTPS 还是要基于 TCP 来传输

(如果改为 UDP 作传输层，无论是 Web 服务端还是浏览器客户端，都要大改，动静太大了)

2. 单独使用一个新的协议，把 HTTP 协议包裹起来

(所谓的“HTTP over SSL”，实际上是在原有的 HTTP 数据外面加了一层 SSL 的封装。HTTP 协议原有的 GET、POST 之类的机制，基本上原封不动)

打个比方：如果原来的 HTTP 是塑料水管，容易被戳破;那么如今新设计的 HTTPS 就像是在原有的塑料水管之外，再包一层金属水管。一来，原有的塑料水管照样运行;二来，用金属加固了之后，不容易被戳破。

可扩展性

前面说了，HTTPS 相当于是“HTTP over SSL”。

如果 SSL 这个协议在“可扩展性”方面的设计足够牛逼，那么它除了能跟 HTTP 搭配，还能够跟其它的应用层协议搭配。

现在看来，当初设计 SSL 的人确实比较牛。如今的 SSL/TLS 可以跟很多常用的应用层协议(比如：FTP、SMTP、POP、Telnet)搭配，来强化这些应用层协议的安全性。

接着刚才打的比方：如果把 SSL/TLS 视作一根用来加固的金属管，它不仅可以用来加固输水的管道，还可以用来加固输煤气的管道。

保密性(防泄密)

HTTPS 需要做到足够好的保密性。

说到保密性，首先要能够对抗嗅探(行话叫 Sniffer)。所谓的“嗅探”，通俗而言就是监视你的网络传输流量。如果你使用明文的 HTTP 上网，那么监视者通过嗅探，就知道你在访问哪些网站的哪些页面。

嗅探是最低级的攻击手法。除了嗅探，HTTPS 还需要能对抗其它一些稍微高级的攻击手法——比如“重放攻击”。

完整性(防篡改)

除了“保密性”，还有一个同样重要的目标是“确保完整性”。

在发明 HTTPS 之前，由于 HTTP 是明文的，不但容易被嗅探，还容易被篡改。

举个例子：比如咱们天朝的网络运营商(ISP)都比较流氓，经常有网友抱怨说访问某网站(本来是没有广告的)，竟然会跳出很多中国电信的广告。为啥会这样捏?因为你的网络流量需要经过 ISP 的线路才能到达公网。如果你使用的是明文的 HTTP，ISP 很容易就可以在你访问的页面中植入广告。所以，当初设计 HTTPS 的时候，还有一个需求是“确保 HTTP 协议的内容不被篡改”。

真实性(防假冒)

在谈到 HTTPS 的需求时，“真实性”经常被忽略。其实“真实性”的重要程度不亚于前面的“保密性”和“完整性”。

举个例子：你因为使用网银，需要访问该网银的 Web 站点。那么，你如何确保你访问的网站确实是你想访问的网站?(这话有点绕口令)有些天真的同学会说：通过看网址里面的域名，来确保。为啥说这样的同学是“天真的”?因为 DNS 系统本身是不可靠的(尤其是在设计 SSL 的那个年代，连 DNSSEC 都还没发明)。由于 DNS 的不可靠(存在“域名欺骗”和“域名劫持”)，你看到的网址里面的域名【未必】是真实滴!

所以，HTTPS 协议必须有某种机制来确保“真实性”的需求。

【HTTPS和HTTP的区别】

1、https协议需要到ca申请证书，沃通CA推出了免费https证书。

2、http是超文本传输协议，信息是明文传输，https 则是具有安全性的ssl加密传输协议。

3、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。

4、http的连接很简单，是无状态的;HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。