Как устроен HTTPS

Коротко

HTTPS — это HTTP поверх TLS. При рукопожатии клиент и сервер договариваются о шифре, сервер доказывает владение доменом сертификатом, а общий ключ сессии получается обменом Диффи — Хеллмана. Замок в браузере означает зашифрованное соединение с владельцем домена, но не честность самого сайта.

Главное

• 0:48HTTPS = HTTP поверх TLS: шифрование, целостность и подлинность сервера.
• 2:40Рукопожатие TLS 1.3 занимает один круг запрос-ответ.
• 4:45Сертификат связывает домен с открытым ключом и подписан удостоверяющим центром.
• 6:42Браузер проверяет цепочку до корневого сертификата из своего хранилища.
• 9:00Ключ сессии получается обменом Диффи — Хеллмана; он не передаётся по сети.
• 11:30Прямая секретность: утечка ключа сервера не раскрывает прошлые сессии.
• 14:40Замок значит «соединение с владельцем домена зашифровано», а не «сайт честный».

Главы

1. 0:00Что даёт HTTPS
2. 2:40Рукопожатие TLS 1.3
3. 4:45Сертификаты и цепочка доверия
4. 9:00Обмен ключами
5. 11:30Прямая секретность
6. 14:40Что значит замок

Термины

TLS 0:48

Протокол, обеспечивающий шифрование и проверку подлинности соединения.

Удостоверяющий центр 4:45

Организация, которая подписывает сертификаты доменов.

Прямая секретность 11:30

Свойство, при котором старые сессии нельзя расшифровать даже с ключом сервера.

Выводы и действия

• Проверяйте сертификат, если сайт просит пароли или платёж.
• Замок — не знак доверия к содержанию сайта.
• На своих серверах отключайте старые версии TLS.

Проверьте себя

1. Сколько кругов запрос-ответ занимает рукопожатие TLS 1.3?

   ОдинДваТри
2. Передаётся ли ключ сессии по сети?

   Да, в зашифрованном видеНет, он вычисляется обеими сторонамиТолько при первом подключении
3. Что гарантирует замок в браузере?

   Что сайт не мошенническийШифрованное соединение с владельцем доменаЧто сайт проверен браузером

Вопросы к видео