http与https区别及https是如何保障安全性

原创作品，转载请注明本博客及本文链接

区别：

1、加密：http协议对传输的数据不进行加密；https协议对传输的数据使用SSL安全协议进行加密，https加密需要CA签发的证书。

2、端口：http协议使用TCP的80端口；https协议使用TCP的443端口

3、网络分层模型：http可以明确是位于应用层；https是在http的基础上加上了SSL安全协议，而SSL是运输层协议，所以https是应用层和传输层的结合（我不同意网上将https粗暴地归为运输层的说法）

https如何保障安全

https使用SSL安全协议来保障安全性。具体体现在密钥和证书验证上。

密钥：

1、服务端生成一对公钥和私钥，将公钥和证书发送给客户端；

2、客户端验证证书通过后生成一个对称加密的密钥，并使用服务器生成的公钥加密，发送给服务器；

3、服务器使用私钥解密获得对称加密密钥。

4、客户端和服务器相互发送消息认可对称加密密钥，至此加密通道建立。

5、开始数据传输，在检验数据完整性的基础上，使用对称加密密钥进行加密解密。

证书验证：

一般来说浏览器都内置了权威CA的根证书，客户端使用根证书的密钥对服务器发来的证书进行解密验证，若域名、有效期、签发机关等验证项符合则通过，否则认定证书无效，断开连接。