tls和tcp关系(简述tls和ssl的关系)

前言：之前有个误解，我一直以为SSL是属于应用层的，因为HTTPS用的就是它嘛。直到笔试遇到了一题选择题，把SSL归到了运输层，我就犹豫了。我需要确切的答案。首先我查看《计算机网络第七版》，P345：然后在同一页的底部：按书上的话，那SSL应该属于运输层了。但是这应该两字让我又上网查了一下，发现各种说法都有：会话层、表示层、介于两层之间...都有。于是我就上Stack Exchange，找到两个提问，以下内容为两个问题中自己的部分翻译（只保留原文，不掺杂自己的评论，翻译得不好见谅哈，原链接也有，可以直接看。（2021年更新：由于的傻逼锁定文章机制，链接不得已去除了。））：Q：TLS代表着 “运输层的安全性”。并且在IP协议号列表中 “TLSP” 是作为 “运输层安全协议” 的。这两点让我相信 TLS 是一种运输层协议。但是，大多数人似乎都在谈论TLS是TCP上的。维基百科将其列为 “应用层” 协议。由于TCP没有像协议号这样的东西，这更加复杂：它只是打包原始字节，所以如何解析你得到的TLS数据包，而不是刚开始为0x14-0x18或类似的数据包？A1：OSI模型，将通信协议分类为连续的层：嗯...它只是一个模型。它试图将现实世界用整齐定义的框框来表示。但没有人能保证它一定有效......回顾历史，当ISO推动采用自己的网络协议时，该模型就已经建立并发布。但是他们失败了。作为一个整体世界，更倾向于使用更简单的TCP / IP。ISO模型的生态系统死亡了，但这“模型”却幸存了下来。许多人试图用它来理解TCP / IP。甚至以这种方式来教授。但是，这个模型与TCP / IP是不匹配的。TCP / IP中的有些东西不适合放到ISO模型具体的哪一层中，SSL / TLS就是其中之一。如果你看了协议细节：因此，在OSI模型中，SSL / TLS必须在第6层或第7层，同时在第4层或更低层。不可避免的结论是：OSI模型不适用于SSL / TLS。TLS不在任何层中。（这并不妨碍某些人在任意一层中使用TLS。它没有实际的影响 - 这只是一个模型 - 你可以在概念上说TLS是第2,5甚至17层的都可以，没人可以证明你说的不对。）A2：对于TCP / IP模型：TLS在传输层和应用层之间运行。实际上它只是在传输过程中将应用层数据包装在加密中。TLS密钥交换发生在层与层之间。这里并不是传输层，因为端口号和序列号之类的东西已经存在于传输层了。它只发送数据来建立加密协议，以便它可以包装应用层。对于OSI模型：OSI模型具有更细的粒度。TLS建立加密会话。在OSI模型中，这是TLS运行的地方。它设置其会话，并为应用层（HTTP）添加一层加密。Q：我使用Firebug检测了HTTPS网站（gmail.com）的数据传输。但我看到我提交的数据（用户名和密码）的并没有加密。SSL加密到底在哪里做的？A：SSL协议实现为HTTP协议的透明包装。就OSI模型而言，它有点像灰色区域。它通常在应用层中实现，但严格来说是在会话层中。如下所示：请注意，SSL位于HTTP和TCP之间。如果你想看到它的实际效果，请抓包一个用HTTP协议的网站，再抓包另一个用HTTPS协议的网站。您将看到使用HTTP协议网站的请求和响应都是纯文本，但HTTPS协议的网站是加密。您还可以从数据链路层向上看到数据包一层层的拆分。更新：有人指出（见评论）OSI模型过于概括，并不适合这里。这说得没错。但是，使用此模型是为了说明SSL位于TCP和HTTP之间的“某处”。严格上它不是准确的，是对现实的一种模糊抽象。下面是这条答案的评论：2.@Bruno 我不确定你说的。TCP / IP是一套网络协议，而TCP和IPv4是OSI模型中各个层的不同协议。在这个例子下，OSI模型是一个很好的抽象，因为它显示了SSL的大概位置。不需要100％准确 - 没有任何关于这种抽象的东西 - 它只是帮助理解。-Polynomial3.@Polynomial 我只是说OSI模型被广泛传授作为一个理论概念，但TCP / IP协议栈（最常用的协议栈之一）明确地不适合该模型。事实上，维基百科页面将SSL / TLS放在第6层（表示层）中，而不是像你的答案那样。传播OSI模型在许多情况下实际上没有帮助，并且该层可能非常“人为”（"artificial"）。它只是一个模型，它总是由人决定的，模型并不总是与现实世界相匹配，就像你硬要把VPNs协议归到某一层一样不适合。同样的SSL / TLS也不合适 - Bruno4.@Bruno 正如我们讨论的那样，TLS并不适合OSI模型中的任一层。严格来说，它是第7层，而不是5或6。但就网络协议封装而言，它位于TCP和应用程序之间，因此5和6是有意义的。5和6之间的区别也是一个灰色区域，因为TLS不仅仅是加密数据。所以，正如我之前所说的，这是一个简单的说明，只是为了在实际意义上表达它在网络协议栈中的大概位置。哈哈哈，有趣有趣，相信看完后有了进一步了理解，有空再将翻译完善完善，把其他一些答案也翻译出来。从上面的答案中我总结了以下几点：1.OSI模型不适用于SSL，不能100％准确的说在哪个位置。只能表示SSL的大概位置。用于帮助理解。2.SSL作用于应用层和运输层之间。如果硬要说在哪个位置，那就是：会话层

按照OSI网络分层模型，IP是网络层协议，TCP是传输层协议，而HTTP是应用层的协议。在这三者之间，SPDY和WebSocket都是与HTTP相关的协议，而TCP是HTTP底层的协议。 一、HTTP的不足HTTP协议经过多年的使用，发现了一些不足，主要是性能方面的，包括：HTTP的连接问题，HTTP客户端和服务器之间的交互是采用请求/应答模式，在客户端请求时，会建立一个HTTP连接，然后发送请求消息，服务端给出应答消息，然后连接就关闭了。（后来的HTTP1.1支持持久连接）因为TCP连接的建立过程是有开销的，如果使用了SSL/TLS开销就更大。在浏览器里，一个网页包含许多资源，包括HTML，CSS，JavaScript，图片等等，这样在加载一个网页时要同时打开连接到同一服务器的多个连接。HTTP消息头问题，现在的客户端会发送大量的HTTP消息头，由于一个网页可能需要50-100个请求，就会有相当大的消息头的数据量。HTTP通信方式问题，HTTP的请求/应答方式的会话都是客户端发起的，缺乏服务器通知客户端的机制，在需要通知的场景，如聊天室，游戏，客户端应用需要不断地轮询服务器。而SPDY和WebSocket是从不同的角度来解决这些不足中的一部分。除了这两个技术，还有其他技术也在针对这些不足提出改进。二、SPDYSPDY的主要目的是减少50%以上的页面加载时间，但是呢不增加部署的复杂性，不影响客户端和服务端的Web应用，只需要浏览器和Web服务器支持SPDY。主要有以下几点：多路复用，一个TCP连接上同时跑多个HTTP请求。请求可设定优先级。去除不需要的HTTP头，压缩HTTP头，以减少需要的网络带宽。使用了SSL作为传输协议提供数据安全。对传输的数据使用gzip进行压缩提供服务方发起通信，并向客户端推送数据的机制。实质上，SPDY就是想不影响HTTP语义的情况下，替换HTTP底层传输的协议来加快页面加载时间。SPDY的解决办法就是设计了一个会话层协议--帧协议，解决多路复用，优先级等问题，然后在其上实现了HTTP的语义。三、WebSocketWebSocket则提供使用一个TCP连接进行双向通讯的机制，包括网络协议和API，以取代网页和服务器采用HTTP轮询进行双向通讯的机制。本质上来说，WebSocket是不限于HTTP协议的，但是由于现存大量的HTTP基础设施，代理，过滤，身份认证等等，WebSocket借用HTTP和HTTPS的端口。由于使用HTTP的端口，因此TCP连接建立后的握手消息是基于HTTP的，由服务器判断这是一个HTTP协议，还是WebSocket协议。 WebSocket连接除了建立和关闭时的握手，数据传输和HTTP没丁点关系了。WebSocket也有自己一套帧协议。四、SPDY和WebSocket的关系SPDY和WebSocket的关系比较复杂。补充关系，二者侧重点不同。SPDY更侧重于给Web页面的加载提速，而WebSocket更强调为Web应用提供一种双向的通讯机制以及API。竞争关系，二者解决的问题有交集，比如在服务器推送上SPDY和WebSocket都提供了方案。承载关系，试想，如果SPDY的标准化早于WebSocket，WebSocket完全可以侧重于API，利用SPDY的帧机制和多路复用机制实现该API。 Google提出草案，说WebSocket可以跑在SPDY之上。WebSocket的连接建立在SPDY的流之上，将WebSocket的帧映射到SPDY的帧上。融合关系，如微软在HTTP Speed+Mobility中所做的。五、题外话1. HTTP Speed+Mobility还有一个有趣的技术叫做HTTP Speed+Mobility，和SPDY一样都是HTTP 2.0标准的竞争者，HTTP Speed+Mobility来自微软。HTTP SM借鉴了SPDY和WebSocket的协议，将二者揉为一体，又有所取舍。HTTP SM的设计原则包括：保留HTTP的语义，这一点和SPDY一致，但也正应如此，抛弃了SPDY里的ServerPush。遵守分层的网络架构，TCP能做的，HTTP SM不做，因此去除了SPDY的流控。使用现有标准，因此使用HTTP/1.1 Upgrade header机制，借用了WebSocket的握手机制和帧格式（RFC6455）。客户端掌握内容的控制，因此不强制使用压缩和SSL/TLS。考虑到网络的费用和电力，这点考虑到了移动设备以及物联网，提供了Credit Control机制。HTTP SM分以下几层：会话层和帧协议，这部分取自WebSocket协议。包括握手机制，以及帧格式。流层（包括多路复用），这部分主要借鉴SPDY，包括多路复用，流优先级，但增加了Credit Control。这部分作为 WebSocket协议的扩展。HTTP层，在流层上实现HTTP语义，这部分也借鉴自SPDY。2. Network-Friendly HTTPNF是HTTP 2.0候选方案之一，主要提出以下改进：对HTTP头的名称进行二进制编码对通用HTTP头进行分组请求/应答的多路复用分层模型NF同样定义了帧和流，3. WAKAWAKA也是HTTP 2.0候选方案之一，是HTTP协议原作者Roy Fielding提出的一个提案。 WAKA支持多路复用，支持优先级。WAKA提出了两个新的HTTP方法，RENDER和MONITOR。

传输控制协议( TCP ) 是Internet 协议套件的主要协议之一。起源于最初的网络实现，它补充了Internet 协议(IP)。因此，整个套件通常称为TCP/IP。TCP在通过 IP 网络通信的主机上运行的应用程序之间提供可靠的、有序的和经过错误检查的八位位组（字节）流传输。主要的互联网应用程序，例如万维网、电子邮件、远程管理和文件传输依赖于 TCP，它是TCP/IP 套件传输层的一部分。SSL/TLS通常运行在 TCP 之上。TCP 是面向连接的，在发送数据之前，客户端和服务器之间建立了连接。在建立连接之前，服务器必须正在侦听（被动打开）来自客户端的连接请求。三向握手（主动打开）、重传和错误检测增加了可靠性，但延长了延迟。不需要可靠数据流服务的应用程序可以使用用户数据报协议(UDP)，它提供了一种无连接 数据报服务，它优先考虑时间而不是可靠性。TCP 采用网络拥塞避免。但是，TCP 存在漏洞，包括拒绝服务、连接劫持、TCP 否决和重置攻击。网络功能传输控制协议在应用程序和 Internet 协议之间提供中间级别的通信服务。它在Internet 模型的传输层提供主机到主机的连接。应用程序不需要知道通过链接将数据发送到另一台主机的特定机制，例如为容纳传输介质的最大传输单元所需的IP 分段。在传输层，TCP 处理所有握手和传输细节，并通常通过网络套接字接口向应用程序提供网络连接的抽象。在协议栈的较低级别，由于网络拥塞、流量负载平衡或不可预测的网络行为，IP 数据包可能会丢失、重复或乱序传送。TCP 检测到这些问题，请求重新传输丢失的数据，重新排列乱序数据，甚至帮助最小化网络拥塞以减少其他问题的发生。如果数据仍未交付，则会通知源此失败。一旦 TCP 接收器重新组合了最初传输的八位字节序列，它就会将它们传递给接收应用程序。因此，TCP从底层网络细节中 抽象出应用程序的通信。

概述：HTTP是普通明文传输协议，HTTPS是加密协议，相当于HTTP的安全版本，但需要HTTPS加密必须拥有SSL证书与TLS协议交流产生，SSL证书在线签发：网页链接1、“HTTP”是什么？超文本传输协议（HTTP，HyperText Transfer Protocol)是互联网上应用最为广泛的一种网络协议，所有的WWW文件都必须遵守这个标准，设计HTTP最初的目的是为了提供一种发布和接收HTML页面的方法（具体可查看马海祥博客《深入解析互联网协议的原理》的相关介绍）。1960年美国人Ted Nelson构思了一种通过计算机处理文本信息的方法，并称之为超文本（hypertext），这成为了HTTP超文本传输协议标准架构的发展根基。简单来说，HTTP就是一个网络协议，是专门用来帮你传输Web内容的，关于这个协议，就算你不了解，至少也听说过吧？比如你访问我的博客的主页，浏览器地址栏会出现的网址：http://www.mahaixiang.cn，大部分网站都是通过HTTP协议来传输Web页面、以及Web页面上包含的各种东东（图片、CSS 样式、JS 脚本）。2、“SSL/TLS”是什么？SSL是“Secure Sockets Layer”的缩写，中文叫做“安全套接层”，它是在上世纪90年代中期，由网景公司设计的（顺便插一句，网景公司不光发明了 SSL，还发明了很多 Web 的基础设施——比如“CSS 样式表”和“JS 脚本”）。为啥要发明SSL这个协议捏？因为原先互联网上使用的HTTP协议是明文的，存在很多缺点——比如传输内容会被偷窥（嗅探）和篡改，发明SSL协议，就是为了解决这些问题。到了1999年，SSL因为应用广泛，已经成为互联网上的事实标准，IETF就在那年把SSL标准化，标准化之后的名称改为TLS（是“Transport Layer Security”的缩写），中文叫做“传输层安全协议”。很多相关的文章都把这两者并列称呼（SSL/TLS），因为这两者可以视作同一个东西的不同阶段。3、“HTTPS”是什么意思？解释完 HTTP 和 SSL/TLS，现在就可以来解释 HTTPS 啦，咱们通常所说的 HTTPS 协议，说白了就是“HTTP 协议”和“SSL/TLS 协议”的组合，你可以把 HTTPS 大致理解为——“HTTP over SSL”或“HTTP over TLS”（反正 SSL 和 TLS 差不多）。HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。它是一个URI scheme（抽象标识符体系），句法类同http:体系，用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间），这个系统的最初研发由网景公司(Netscape)进行，并内置于其浏览器Netscape Navigator中，提供了身份验证与加密通讯方法，现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。4、谈谈“对称加密”和“非对称加密”的概念如果我们想搞明白“对称加密”和“非对称加密”的概念，首先，我们就要先知道什么是“加密”和“解密”？（1）、什么是“加密”和“解密”？通俗而言，你可以把“加密”和“解密”理解为某种互逆的数学运算，就好比“加法和减法”互为逆运算、“乘法和除法”互为逆运算。“加密”的过程，就是把“明文”变成“密文”的过程；反之，“解密”的过程，就是把“密文”变为“明文”，在这两个过程中，都需要一个关键的东东——叫做“密钥”——来参与数学运算。（2）、什么是“对称加密”？所谓的“对称加密技术”，意思就是说：“加密”和“解密”使用相同的密钥。这个比较好理解，就好比你用 7zip 或 WinRAR 创建一个带密码（口令）的加密压缩包，当你下次要把这个压缩文件解开的时候，你需要输入同样的密码，在这个例子中，密码/口令就如同刚才说的“密钥”。对称加密是最快速、最简单的一种加密方式，加密（encryption）与解密（decryption）用的是同样的密钥（secret key），这种方法在密码学中叫做对称加密算法，对称加密有很多种算法，由于它效率很高，所以被广泛使用在很多加密协议的核心当中。（3）、什么是“非对称加密”？所谓的“非对称加密技术”，意思就是说：“加密”和“解密”使用不同的密钥，这玩意儿比较难理解，也比较难想到，当年“非对称加密”的发明，还被誉为“密码学”历史上的一次革命。非对称加密为数据的加密与解密提供了一个非常安全的方法，它使用了一对密钥，公钥（public key）和私钥（private key），私钥只能由一方安全保管，不能外泄，而公钥则可以发给任何请求它的人，非对称加密使用这对密钥中的一个进行加密，而解密则需要另一个密钥。由于篇幅有限，对“非对称加密”这个话题，我就不展开了，有空的话，我会再单独写一篇文章在马海祥博客上发布。（4）、各自有啥优缺点？看完刚才的定义，很显然：（从功能角度而言）“非对称加密”能干的事情比“对称加密”要多，这是“非对称加密”的优点，但是“非对称加密”的实现，通常需要涉及到“复杂数学问题”，所以，“非对称加密”的性能通常要差很多（相对于“对称加密”而言）。这两者的优缺点，也影响到了 SSL 协议的设计。5、HTTP协议的特点作为背景知识介绍，还需要再稍微谈一下 HTTP 协议本身的特点，HTTP本身有很多特点，考虑到篇幅有限，马海祥只谈那些和HTTPS相关的特点，想要了解更深入的HTTP知识，可查看马海祥博客《HTTP服务的七层架构技术解析及运用》的相关介绍。（1）、HTTP的版本和历史如今咱们用的 HTTP 协议，版本号是 1.1（也就是 HTTP 1.1），这个 1.1 版本是1995年底开始起草的（技术文档是RFC2068），并在1999年正式发布（技术文档是RFC2616）。在 1.1 之前，还有曾经出现过两个版本“0.9 和 1.0”，其中的 HTTP 0.9 没有被广泛使用，而 HTTP 1.0 被广泛使用过。（2）、HTTP 和 TCP 之间的关系简单地说，TCP 协议是 HTTP 协议的基石——HTTP 协议需要依靠 TCP 协议来传输数据。在网络分层模型中，TCP 被称为“传输层协议”，而 HTTP 被称为“应用层协议”。有很多常见的应用层协议是以 TCP 为基础的，比如“FTP、SMTP、POP、IMAP”等。TCP被称为“面向连接”的传输层协议，关于它的具体细节，俺就不展开了（否则篇幅又失控了），你只需知道：传输层主要有两个协议，分别是TCP和UDP，TCP比UDP更可靠，你可以把 TCP 协议想象成某个水管，发送端这头进水，接收端那头就出水，并且 TCP 协议能够确保，先发送的数据先到达（与之相反，UDP不保证这点）。（3）、HTTP协议如何使用 TCP 连接？HTTP对 TCP 连接的使用，分为两种方式：俗称“短连接”和“长连接”（“长连接”又称“持久连接”，叫做“Keep-Alive”或“Persistent Connection”）假设有一个网页，里面包含好多图片，还包含好多外部的CSS文件和JS文件，在“短连接”的模式下，浏览器会先发起一个 TCP 连接，拿到该网页的 HTML 源代码（拿到 HTML 之后，这个 TCP 连接就关闭了）。然后，浏览器开始分析这个网页的源码，知道这个页面包含很多外部资源（图片、CSS、JS）。然后针对每一个外部资源，再分别发起一个个 TCP 连接，把这些文件获取到本地（同样的，每抓取一个外部资源后，相应的 TCP 就断开）。相反，如果是“长连接”的方式，浏览器也会先发起一个 TCP 连接去抓取页面，但是抓取页面之后，该 TCP 连接并不会立即关闭，而是暂时先保持着（所谓的“Keep-Alive”），然后浏览器分析 HTML 源码之后，发现有很多外部资源，就用刚才那个 TCP 连接去抓取此页面的外部资源。在 HTTP 1.0 版本，默认使用的是“短连接”（那时候是 Web 诞生初期，网页相对简单，“短连接”的问题不大）。到了1995年底开始制定 HTTP 1.1 草案的时候，网页已经开始变得复杂（网页内的图片、脚本越来越多了），这时候再用短连接的方式，效率太低下了（因为建立 TCP 连接是有“时间成本”和“CPU成本”），所以，在 HTTP 1.1 中，默认采用的是“Keep-Alive”的方式。6、SSL/TLS协议的基本运行过程SSL/TLS协议的基本思路是采用公钥加密法，也就是说，客户端先向服务器端索要公钥，然后用公钥加密信息，服务器收到密文后，用自己的私钥解密，但是这里有两个问题：（1）、如何保证公钥不被篡改？解决方法：将公钥放在数字证书中，只要证书是可信的，公钥就是可信的。（2）、公钥加密计算量太大，如何减少耗用的时间？解决方法：每一次对话（session），客户端和服务器端都生成一个"对话密钥"（session key），用它来加密信息。由于"对话密钥"是对称加密，所以运算速度非常快，而服务器公钥只用于加密"对话密钥"本身，这样就减少了加密运算的消耗时间。因此，SSL/TLS协议的基本过程是这样的：（1）、客户端向服务器端索要并验证公钥。（2）、双方协商生成“对话密钥”。（3）、双方采用“对话密钥”进行加密通信。7、SSL、HTTP和HTTPS协议的联系SSL是Netscape公司所提出的安全保密协议，在浏览器(如Internet Explorer、Netscape Navigator)和Web服务器(如Netscape的Netscape Enterprise Server、ColdFusion Server等等)之间构造安全通道来进行数据传输，SSL运行在TCP/IP层之上、应用层之下，为应用程序提供加密数据通道，它采用了RC4、MD5 以及RSA等加密算法，使用40位的密钥，适用于商业信息的加密。同时，Netscape公司相应开发了HTTPS协议并内置于其浏览器中，HTTPS实际上就是SSL over HTTP，它使用默认端口443，而不是像HTTP那样使用端口80来和TCP/IP进行通信。HTTPS协议使用SSL在发送方把原始数据进行加密，然后在接受方进行解密，加密和解密需要发送方和接受方通过交换共知的密钥来实现，因此，所传送的数据不容易被网络黑客截获和解密。然而，加密和解密过程需要耗费系统大量的开销，严重降低机器的性能，相关测试数据表明使用HTTPS协议传输数据的工作效率只有使用HTTP协议传输的十分之一。假如为了安全保密，将一个网站所有的Web应用都启用SSL技术来加密，并使用HTTPS协议进行传输，那么该网站的性能和效率将会大大降低，而且没有这个必要，因为一般来说并不是所有数据都要求那么高的安全保密级别，所以，我们只需对那些涉及机密数据的交互处理使用HTTPS协议，这样就做到鱼与熊掌兼得（具体可查看马海祥博客《从SEO的角度来分析网站是否该采用HTTPS协议》的相关介绍）。总之不需要用https的地方，就尽量不要用。8、HTTPS协议的需求是什么？花了好多口水，终于把背景知识说完了，下面正式进入正题，先来说说当初设计HTTPS是为了满足哪些需求？很多介绍 HTTPS 的文章一上来就给你讲实现细节，对此，马海祥觉得这是不好的做法，一上来就给你讲协议细节，你充其量只能知道如何做，无法理解为什么，我在前一个章节讲了“背景知识”，在这个章节讲了“需求”，这就有助于你理解了。为什么要设计成这样？——这就是 WHY 型的问题。（1）、兼容性因为是先有 HTTP 再有 HTTPS，所以，HTTPS 的设计者肯定要考虑到对原有 HTTP 的兼容性。这里所说的兼容性包括很多方面，比如已有的 Web 应用要尽可能无缝地迁移到 HTTPS；比如对浏览器厂商而言，改动要尽可能小。基于“兼容性”方面的考虑，很容易得出如下几个结论：①、HTTPS还是要基于 TCP 来传输如果改为 UDP 作传输层，无论是 Web 服务端还是浏览器客户端，都要大改，动静太大了。②、单独使用一个新的协议，把 HTTP 协议包裹起来所谓的“HTTP over SSL”，实际上是在原有的 HTTP 数据外面加了一层 SSL 的封装，HTTP 协议原有的 GET、POST 之类的机制，基本上原封不动。打个比方：如果原来的 HTTP 是塑料水管，容易被戳破；那么如今新设计的 HTTPS 就像是在原有的塑料水管之外，再包一层金属水管，一来，原有的塑料水管照样运行；二来，用金属加固了之后，不容易被戳破。（2）、可扩展性前面说了，HTTPS 相当于是“HTTP over SSL”。如果 SSL 这个协议在“可扩展性”方面的设计足够牛逼，那么它除了能跟 HTTP 搭配，还能够跟其它的应用层协议搭配，岂不美哉？现在看来，当初设计 SSL 的人确实比较牛，如今的 SSL/TLS 可以跟很多常用的应用层协议（比如：FTP、SMTP、POP、Telnet）搭配，来强化这些应用层协议的安全性。接着刚才打的比方：如果把 SSL/TLS 视作一根用来加固的金属管，它不仅可以用来加固输水的管道，还可以用来加固输煤气的管道。（3）、保密性（防泄密）HTTPS需要做到足够好的保密性。说到保密性，首先要能够对抗嗅探（行话叫 Sniffer），所谓的“嗅探”，通俗而言就是监视你的网络传输流量，如果你使用明文的 HTTP 上网，那么监视者通过嗅探，就知道你在访问哪些网站的哪些页面。嗅探是最低级的攻击手法，除了嗅探，HTTPS 还需要能对抗其它一些稍微高级的攻击手法——比如“重放攻击”（后面讲协议原理的时候，会再聊）。（4）、完整性（防篡改）除了“保密性”，还有一个同样重要的目标是“确保完整性”。在发明 HTTPS 之前，由于 HTTP 是明文的，不但容易被嗅探，还容易被篡改。举个例子：比如咱们的网络运营商（ISP）都比较流氓，经常有网友抱怨说访问某网站（本来是没有广告的），竟然会跳出很多中国电信的广告，为啥会这样呢？因为你的网络流量需要经过 ISP 的线路才能到达公网，如果你使用的是明文的 HTTP，ISP 很容易就可以在你访问的页面中植入广告。所以，当初设计 HTTPS 的时候，还有一个需求是“确保 HTTP 协议的内容不被篡改”。（5）、真实性（防假冒）在谈到 HTTPS 的需求时，“真实性”经常被忽略，其实“真实性”的重要程度不亚于前面的“保密性”和“完整性”。举个例子：你因为使用网银，需要访问该网银的 Web 站点，那么，你如何确保你访问的网站确实是你想访问的网站？有些天真的同学会说：通过看网址里面的域名，来确保，为啥说这样的同学是“天真的”？因为 DNS 系统本身是不可靠的（尤其是在设计 SSL 的那个年代，连 DNSSEC 都还没发明），由于 DNS 的不可靠（存在“域名欺骗”和“域名劫持”），你看到的网址里面的域名未必是真实滴！所以，HTTPS 协议必须有某种机制来确保“真实性”的需求（至于如何确保，后面会细聊）。9、HTTPS和HTTP的区别超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息，HTTP协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，因此HTTP协议不适合传输一些敏感信息，比如信用卡号、密码等。为了解决HTTP协议的这一缺陷，需要使用另一种协议：安全套接字层超文本传输协议HTTPS。为了数据传输的安全，HTTPS在HTTP的基础上加入了SSL协议，SSL依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。一般来说，HTTPS和HTTP的区别主要为以下四点：（1）、https协议需要到ca申请证书，一般免费证书很少，需要交费。（2）、http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。（3）、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。（4）、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全（具体可查看马海祥博客《HTTP与HTTPS的区别》的相关介绍）。10、HTTPS和HTTP的性能比较再来说最后一个需求——性能。本来简单的http协议，一个get一个response，由于https要还密钥和确认加密算法的需要，单握手就需要6、7个往返，任何应用中，过多的round trip肯定影响性能，接下来才是具体的http协议，每一次响应或者请求，都要求客户端和服务端对会话的内容做加密/解密。尽管对称加密/解密效率比较高，可是仍然要消耗过多的CPU，为此有专门的SSL芯片，如果CPU信能比较低的话，肯定会降低性能，从而不能serve更多的请求，加密后数据量的影响，所以，才会出现那么多的安全认证提示（具体可查看马海祥博客《HTTPS对网站性能优化的影响》的相关介绍）。一般来说，引入HTTPS之后，不能导致性能变得太差，否则的话，谁还愿意用？为了确保性能，SSL 的设计者至少要考虑如下几点：（1）、如何选择加密算法（“对称”or“非对称”）？（2）、如何兼顾 HTTP 采用的“短连接”TCP 方式？SSL 是在1995年之前开始设计的，那时候的 HTTP 版本还是 1.0，默认使用的是“短连接”的 TCP 方式——默认不启用 Keep-Alive。HTTPS的关键性能影响是CPU和往返，如果CPU很强的话，性能可能就是有人讲的80%；如果cpu是瓶颈的话，有人讲原来可以server330-500个请求每秒，现在只有30-50%，因此在使用https请求数据的时候要注意看看你的项目里面是否真的需要。
1. “HTTP”是干嘛用滴？ 首先，HTTP 是一个网络协议，是专门用来帮你传输 Web 内容滴。大部分网站都是通过 HTTP 协议来传输 Web 页面、以及 Web 页面上包含的各种东东（图片、CSS 样式、JS 脚本）。2. “SSL/TLS”是干嘛用滴？SSL 是洋文“Secure Sockets Layer”的缩写，中文叫做“安全套接层”。它是在上世纪90年代中期，由网景公司设计的。（顺便插一句，网景公司不光发明了 SSL，还发明了很多 Web 的基础设施——比如“CSS 样式表”和“JS 脚本”）为啥要发明 SSL 这个协议捏？因为原先互联网上使用的 HTTP 协议是明文的，存在很多缺点——比如传输内容会被偷窥（嗅探）和篡改。发明 SSL 协议，就是为了解决这些问题。到了1999年，SSL 因为应用广泛，已经成为互联网上的事实标准。IETF 就在那年把 SSL 标准化。标准化之后的名称改为 TLS（是“Transport Layer Security”的缩写），中文叫做“传输层安全协议”。很多相关的文章都把这两者并列称呼（SSL/TLS），因为这两者可以视作同一个东西的不同阶段。3. “HTTPS”是啥意思？ 解释完 HTTP 和 SSL/TLS，现在就可以来解释 HTTPS 啦。咱们通常所说的 HTTPS 协议，说白了就是“HTTP 协议”和“SSL/TLS 协议”的组合。你可以把 HTTPS 大致理解为——“HTTP over SSL”或“HTTP over TLS”（反正 SSL 和 TLS 差不多）。
一、什么是HTTPS、TLS、SSLHTTPS，也称作HTTP over TLS。TLS的前身是SSL，TLS 1.0通常被标示为SSL 3.1，TLS 1.1为SSL 3.2，TLS 1.2为SSL 3.3。二、HTTP和HTTPS协议的区别1、HTTPS协议需要到证书颁发机构(Certificate Authority，简称CA)申请证书，一般免费证书很少，需要交费。2、HTTP是超文本传输协议，信息是明文传输，HTTPS则是具有安全性的SSL加密传输协议。3、HTTP和HTTPS使用的是完全不同的连接方式，使用的端口也不一样,前者是80,后者是443。4、HTTP的连接很简单,是无状态的。5、HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比HTTP协议安全。从上面可看出，HTTPS和HTTP协议相比提供了· 数据完整性：内容传输经过完整性校验· 数据隐私性：内容经过对称加密，每个链接生成一个唯一的加密密钥· 身份认证：第三方无法伪造服务端(客户端)身份其中，数据完整性和隐私性由TLS Record Protocol保证，身份认证由TLS Handshaking Protocols实现。详解HTTPS、TLS、SSL、HTTP区别和关系请参考：网页链接
HTTP，SSL/TLS和HTTPS协议的区别：HTTP：超文本传输协议（HTTP，HyperText Transfer Protocol)是互联网上应用最为广泛的一种网络协议，所有的WWW文件都必须遵守这个标准。SSL/TLS：SSL是“Secure Sockets Layer”的缩写，中文叫做“安全套接层”；1999年，IETF将SSL标准化，标准化之后的名称改为TLS（是“Transport Layer Security”的缩写），中文叫做“传输层安全协议”。HTTPS：（全称：Hyper Text Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。HTTP，SSL/TLS和HTTPS协议的联系：HTTPS实际上就是SSL/TLS + HTTP，HTTPS使用默认端口443，而不是像HTTP那样使用端口80来和TCP/IP进行通信。HTTPS协议使用SSL在发送方把原始数据进行加密，然后在接受方进行解密，加密和解密需要发送方和接收方通过交换共知的密钥来实现。
简单点说，http是明文传输，https 则是加密传输，https是http的安全、高级版本。 网站实现https访问需要安装ssl证书，GDCA就有各种类型的ssl证书，现在的浏览器都要求安装了。

一、“HTTP”是干嘛用滴？ 首先，HTTP 是一个网络协议，是专门用来帮你传输 Web 内容滴。 大部分网站都是通过 HTTP 协议来传输 Web 页面、以及 Web 页面上包含的各种东东（图片、CSS 样式、JS 脚本）。二、“SSL/TLS”是干嘛用滴？SSL 是洋文“Secure Sockets Layer”的缩写，中文叫做“安全套接层”。它是在上世纪90年代中期，由网景公司设计的。（顺便插一句，网景公司不光发明了 SSL，还发明了很多 Web 的基础设施——比如“CSS 样式表”和“JS 脚本”）增加说明：为啥要发明 SSL 这个协议捏？因为原先互联网上使用的 HTTP 协议是明文的，存在很多缺点——比如传输内容会被偷窥（嗅探）和篡改。发明 SSL 协议，就是为了解决这些问题。到了1999年，SSL 因为应用广泛，已经成为互联网上的事实标准。IETF 就在那年把 SSL 标准化。标准化之后的名称改为 TLS（是“Transport Layer Security”的缩写），中文叫做“传输层安全协议”。很多相关的文章都把这两者并列称呼（SSL/TLS），因为这两者可以视作同一个东西的不同阶段。三、“HTTPS”是啥意思？解析玩HTTP和SSL/TLS，现在就可以来解释HTTPS 啦。咱们通常所说的HTTPS协议，说白了就是“HTTP 协议”和“SSL/TLS 协议”的组合。你可以把HTTPS大致理解为“HTTP over SSL”或“HTTP over TLS”（反正SSL和TLS差不多）。四、如何实现HTTPS？ HTTPS实现有一定门槛的，首先有独立的域名、服务器，然后淘宝：Gworg获取SSL证书安装到服务器才可以实现，其中包括签发、认证手续的。
HTTPS，也称作HTTP over TLS。TLS的前身是SSL，TLS 1.0通常被标示为SSL 3.1，TLS 1.1为SSL 3.2，TLS 1.2为SSL 3.3。下图描述了在TCP/IP协议栈中TLS(各子协议)和HTTP的关系。查看HTTPS、TLS、SSL、HTTP区别和关系详解：https://www.wosign.com/info/https_tls_ssl_http.htm