安全測試 - HTTPS協議基礎

HTTPS（超文字傳輸協議安全套接字層）或HTTP over SSL是由Netscape開發的一種網路協議。它本身並非一種協議，而是將HTTP疊加在SSL/TLS（安全套接字層/傳輸層安全）之上。

簡而言之，HTTPS = HTTP + SSL

何時需要HTTPS？

當我們瀏覽網頁時，通常使用HTTP協議傳送和接收資訊。這使得任何人都可以竊聽我們計算機和Web伺服器之間的通訊。很多時候，我們需要交換敏感資訊，需要確保其安全並防止未授權訪問。

HTTPS協議用於以下場景：

• 銀行網站
• 支付閘道器
• 購物網站
• 所有登入頁面
• 電子郵件應用程式

HTTPS的基本工作原理

• HTTPS協議中的伺服器需要公鑰和簽名的證書。

• 客戶端請求https://頁面

• 使用https連線時，伺服器會響應初始連線，並提供Web伺服器支援的一系列加密方法。

• 響應中，客戶端選擇一種連線方法，客戶端和伺服器交換證書以驗證其身份。

• 完成此操作後，Web伺服器和客戶端在確保兩者使用相同的金鑰後交換加密資訊，然後關閉連線。

• 要託管https連線，伺服器必須具有公鑰證書，其中包含金鑰資訊以及對金鑰所有者身份的驗證。

• 幾乎所有證書都由第三方驗證，以確保客戶端始終安全。