網(wǎng)上說(shuō)TLS的文章很多，要學(xué)習(xí)TLS技術(shù)有很多不錯(cuò)的選擇。本文并不是一個(gè)權(quán)威的教程，只是我個(gè)人學(xué)習(xí)TLS后基于自己理解的一個(gè)總結(jié)而已。如果有讀者通過(guò)閱讀此文后加深了對(duì)TLS的理解，不勝榮幸。

要聊TLS，還得從HTTP說(shuō)起，HTTP可以說(shuō)是作為目前最流行的一個(gè)網(wǎng)絡(luò)協(xié)議，可以說(shuō)是網(wǎng)絡(luò)的基石之一。一般來(lái)說(shuō)可以理解為從瀏覽器看到的所有東西，都是構(gòu)建于HTTP之上的。

早期HTTP協(xié)議被設(shè)計(jì)成在一個(gè)可信網(wǎng)絡(luò)環(huán)境中運(yùn)行，其設(shè)計(jì)理念以簡(jiǎn)單為主——通過(guò)一個(gè)通用格式的明文請(qǐng)求就能夠獲取到各種文檔、樣式、腳本、富媒體內(nèi)容等。

由于其簡(jiǎn)潔性，各種互聯(lián)網(wǎng)應(yīng)用都得以在其之上進(jìn)行充分的擴(kuò)展，從最早的一個(gè)HTML文檔就是一個(gè)網(wǎng)頁(yè)，到如今打開一個(gè)淘寶首頁(yè)就有百八十個(gè)HTTP請(qǐng)求。各種類型的HTTP請(qǐng)求相互配合，組成了如今我們所看到的繽紛多彩的互聯(lián)網(wǎng)世界。

然而，如今的互聯(lián)網(wǎng)環(huán)境紛繁復(fù)雜，HTTP的簡(jiǎn)單也面臨兩個(gè)大的問(wèn)題

• 安全性無(wú)法保證
• 單次請(qǐng)求獲取一個(gè)文檔的方式，不滿足如今流式傳輸體驗(yàn)所要求的性能

本文主要著眼于安全性方面，第二點(diǎn)后續(xù)有機(jī)會(huì)再議。

導(dǎo)致安全問(wèn)題的一個(gè)重要原因是通過(guò)HTTP的請(qǐng)求及返回都是明文的，下面通過(guò)兩個(gè)例子說(shuō)明。

其一是網(wǎng)絡(luò)運(yùn)營(yíng)商劫持問(wèn)題。主要是指我們的網(wǎng)絡(luò)運(yùn)營(yíng)商(電信、聯(lián)通、移動(dòng)等)通過(guò)在我們看的網(wǎng)頁(yè)中添加廣告，來(lái)謀取廣告費(fèi)的問(wèn)題。下面來(lái)看看他們是怎么做的。

我們所謂的『上網(wǎng)』大體分為兩步，首先給我們要上的網(wǎng)的服務(wù)器發(fā)送一個(gè)請(qǐng)求，然后接收到服務(wù)器返回的內(nèi)容，瀏覽器將這些內(nèi)容展示出來(lái)就是我們看到的網(wǎng)頁(yè)了。我們的請(qǐng)求并不是直接發(fā)送給目標(biāo)網(wǎng)站的服務(wù)器的，中間經(jīng)過(guò)了層層的轉(zhuǎn)發(fā)。

如上圖所示，整個(gè)互聯(lián)網(wǎng)其實(shí)是一個(gè)拓?fù)浣Y(jié)構(gòu)，我們的請(qǐng)求往返于服務(wù)器之間，其實(shí)是經(jīng)過(guò)了很多個(gè)節(jié)點(diǎn)的(這里只是簡(jiǎn)單YY了一個(gè)三層的結(jié)構(gòu)，實(shí)際網(wǎng)絡(luò)拓?fù)湟獜?fù)雜很多)。圖中橙色的節(jié)點(diǎn)就是我們網(wǎng)絡(luò)運(yùn)營(yíng)商的節(jié)點(diǎn)了。按說(shuō)運(yùn)營(yíng)商收了我們的網(wǎng)費(fèi)，好好的做好傳送數(shù)據(jù)的事情就好了。然而一些黑心運(yùn)營(yíng)商(干這事的一般為三四線城市的小運(yùn)營(yíng)商)在收了網(wǎng)費(fèi)的同時(shí)還不好好干活，在服務(wù)器的返回內(nèi)容中插入他們自己的廣告，以此來(lái)多謀得一份廣告收入。

這里隨便網(wǎng)上找了兩個(gè)被插入廣告的例子。

從第二個(gè)圖可以看到，運(yùn)營(yíng)商通過(guò)解析HTTP請(qǐng)求返回的HTML內(nèi)容，在其中插入一個(gè)iframe區(qū)塊，完成廣告的展現(xiàn)。這個(gè)事情本身沒難度(分析網(wǎng)絡(luò)請(qǐng)求的具體內(nèi)容，有個(gè)專業(yè)術(shù)語(yǔ)叫『深度包檢測(cè)』)，做不做就是運(yùn)營(yíng)商的節(jié)操問(wèn)題了。

由于這種現(xiàn)象還是比較影響體驗(yàn)的，因此一些網(wǎng)站踏上了全站HTTPS改造之路，不惜巨大改造成本和性能壓力，旨在避免運(yùn)營(yíng)商的流氓行徑，這里先按下不表。

上述這種問(wèn)題我們總結(jié)下，屬于『可信(相對(duì))』人員占著『有利位置』，通過(guò)篡改請(qǐng)求來(lái)『某點(diǎn)小利』。這里之所以說(shuō)這些黑心運(yùn)營(yíng)商是『可信』，是因?yàn)樗麄冸m然有能力做任何事，但畢竟本職是負(fù)責(zé)傳輸，除了打打小廣告之外，一般還是能夠保證傳輸內(nèi)容的安全的。因此當(dāng)你碰到這種情況時(shí)不必過(guò)于緊張，打個(gè)電話投訴下也就完事了。

為什么強(qiáng)調(diào)『可信』這個(gè)概念，是相對(duì)于下面這個(gè)case來(lái)說(shuō)的?！嚎尚拧坏倪\(yùn)營(yíng)商在『有利位置』，這是沒辦法改變的。但要是我們不小心把『不可信』的不法分子也放到『有利位置』，那恐怕就不是被打打廣告這個(gè)簡(jiǎn)單了。所謂的『不可信』就是下圖這種情況。

之前的圖中紅色節(jié)點(diǎn)是我們家里自己的wifi，那是可以保證安全的。但如果你是出門在外，使用的是餐廳、咖啡館、酒店、機(jī)場(chǎng)的wifi，那還能保證安全嗎?當(dāng)然不能!雖然一般公共場(chǎng)所提供wifi也就是個(gè)便民服務(wù)，沒啥心機(jī)。但假設(shè)你不幸連接到的是不法分子故意開放的wifi，那危害就很大了。

這些不法分子可以窺探你所有的請(qǐng)求以及服務(wù)器的返回，那簡(jiǎn)直就是想干啥就干啥了。以下為YY場(chǎng)景。

• 假設(shè)正好你上的某個(gè)小眾網(wǎng)站技術(shù)水平不高，你的用戶名密碼都是以明文或可逆的加解密算法傳遞的話，不法分子就能拿到你的用戶名密碼了。當(dāng)然不法分子可能對(duì)你的小眾網(wǎng)站并不感興趣，看了一眼就關(guān)了。但是他轉(zhuǎn)念一想，由于記憶困難，一般人對(duì)不同網(wǎng)站用同一個(gè)密碼的可能性很大。因此他會(huì)拿著你的用戶名密碼去qq、淘寶、支付寶等大網(wǎng)站嘗試。一旦你真的用了同樣的密碼，那就中招了。再想得邪惡點(diǎn)，假設(shè)你看的那個(gè)簡(jiǎn)陋的小眾網(wǎng)站，本身就在收集用戶名密碼呢?? 因此對(duì)于一般人來(lái)說(shuō)，建議至少能夠?qū)嵭泻?jiǎn)單的密碼分級(jí)，重要的大網(wǎng)站搞一個(gè)復(fù)雜的密碼，平時(shí)隨便看看的小眾網(wǎng)站就搞個(gè)簡(jiǎn)單密碼吧。
• 你訪問(wèn)的是正規(guī)網(wǎng)站，技術(shù)水平OK，密碼都是通過(guò)加鹽MD5傳輸?shù)模悄憔秃馨踩?NO!在web應(yīng)用中，每當(dāng)用戶登錄時(shí)，服務(wù)器都會(huì)為其生成一個(gè)『令牌』。在后續(xù)用戶的各種操作時(shí)，用戶都需要將這個(gè)『令牌』帶在請(qǐng)求中，以此來(lái)告訴服務(wù)器用戶的合法身份。不法分子完全可以通過(guò)分析web應(yīng)用的請(qǐng)求，找到其中的令牌字段。一旦拿到這個(gè)令牌，那不法分子就擁有和用戶一樣的權(quán)限了。這個(gè)問(wèn)題比上一個(gè)問(wèn)題好一些的地方在于，令牌是有時(shí)效性的。比如今天一個(gè)用戶的令牌在訪問(wèn)某網(wǎng)站時(shí)被人獲取了，那不法分子就可以用這個(gè)令牌和真正的用戶一起訪問(wèn)該網(wǎng)站了。但如果真正的用戶退出登錄了，那不法分子這邊也就不再能訪問(wèn)了。同時(shí)拿了網(wǎng)站A的令牌只能訪問(wèn)網(wǎng)站A，不法分子沒辦法去sh試網(wǎng)站BCD。
• 上兩個(gè)場(chǎng)景都需要不法分子提前對(duì)用戶訪問(wèn)的網(wǎng)站進(jìn)行分析，這樣才能知道哪個(gè)字段才是密碼或令牌。雖然有時(shí)不法分子水平一般，不能從請(qǐng)求中找到密碼或令牌。但至少用戶訪問(wèn)的網(wǎng)站及內(nèi)容是一目了然的。用戶發(fā)的微博、看的新聞、上傳的照片、心情日記等等隱私全都被暴露了，也難怪網(wǎng)上經(jīng)常會(huì)爆出『XX門』了。

上述兩次例子中，運(yùn)營(yíng)商和公共wifi提供者要么是竊聽了用戶的請(qǐng)求，要么是往服務(wù)器的返回中加點(diǎn)料。不管具體方法是啥，問(wèn)題的本質(zhì)在于HTTP請(qǐng)求和返回都是明文的。導(dǎo)致一路上這么多節(jié)點(diǎn)，每個(gè)節(jié)點(diǎn)都可以拿點(diǎn)它需要的信息，或者往里再加點(diǎn)料~

除此之外，HTTP的另一個(gè)問(wèn)題是沒法校驗(yàn)返回給你內(nèi)容的服務(wù)器是否是目標(biāo)服務(wù)器。這說(shuō)的有些拗口，也沒法找到真實(shí)的應(yīng)用層實(shí)例，那我們來(lái)看下類似的一個(gè)例子吧。

如圖所示是防火墻設(shè)備阻止用戶訪問(wèn)特定網(wǎng)站的一種技術(shù)，有些公司會(huì)禁止員工訪問(wèn)游戲、股票等網(wǎng)絡(luò)服務(wù)，就會(huì)用到這種技術(shù)(國(guó)家有時(shí)候也可以看做一個(gè)公司?)。HTTP基于TCP/IP協(xié)議之上，借助DNS協(xié)議的配合，幫助用戶只需要記住一個(gè)好記的單詞(域名或叫網(wǎng)址)，就能訪問(wèn)到特定的網(wǎng)絡(luò)服務(wù)。這個(gè)路由的原理不在本文范圍之內(nèi)，但TCP/IP + DNS + HTTP這套機(jī)制能夠work的原因同樣基于一個(gè)假設(shè)——網(wǎng)絡(luò)環(huán)境是可信的，網(wǎng)絡(luò)中的每個(gè)節(jié)點(diǎn)都會(huì)按照協(xié)議要求有序運(yùn)作。上圖中的橙色節(jié)點(diǎn)在用戶訪問(wèn)百度時(shí)正常工作，但在訪問(wèn)youtube時(shí)則沒有把請(qǐng)求往上傳遞，而是直接回復(fù)用戶不能響應(yīng)請(qǐng)求。(TCP RST為斷開TCP連接)還有一種情況下請(qǐng)求還是往上傳遞到目標(biāo)服務(wù)器了，但中間節(jié)點(diǎn)卻提前回復(fù)了一個(gè)TCP RST。用戶端瀏覽器收到一個(gè)TCP RST后并不知道真相，以為是要訪問(wèn)的服務(wù)拒絕了我們的請(qǐng)求，因此就關(guān)閉了請(qǐng)求。而實(shí)際上服務(wù)器是無(wú)辜的，有節(jié)點(diǎn)偽裝了它。

上述例子還是我們『可信』的運(yùn)營(yíng)商或者防火墻提供商進(jìn)行網(wǎng)絡(luò)管理的一種手段，其結(jié)果也就是用戶上不了某些網(wǎng)站而已，影響不是太大。和明文問(wèn)題一樣，要是碰到的是一個(gè)『不可信』的節(jié)點(diǎn)，那問(wèn)題就大得多。

上圖是網(wǎng)上找的一個(gè)釣魚網(wǎng)站的例子，這個(gè)問(wèn)題大家現(xiàn)在都很注意了。不法分子將假網(wǎng)站做的和真網(wǎng)站一模一樣，通過(guò)聊天工具或短信騙用戶點(diǎn)擊訪問(wèn)，企圖利用假網(wǎng)站騙取用戶的用戶名密碼。這種做法能夠被大多數(shù)人注意的原因是其網(wǎng)址和真網(wǎng)站不同，但如果把釣魚網(wǎng)站這個(gè)方式往上面的例子套，那就完全能以假亂真了。這種問(wèn)題對(duì)于HTTP請(qǐng)求來(lái)說(shuō)幾乎沒有分辨的辦法。

上述兩個(gè)例子都是用戶沒有訪問(wèn)到真正的目標(biāo)服務(wù)器，而是由某個(gè)惡意節(jié)點(diǎn)偽裝成目標(biāo)服務(wù)器給用戶返回了內(nèi)容。這種方式在一般的上網(wǎng)過(guò)程中是幾乎無(wú)法分辨的，只有技術(shù)人員刻意進(jìn)行分析時(shí)，才能發(fā)現(xiàn)這種偽裝HTTP服務(wù)器的情況。

至此全文一共聊了四個(gè)例子，說(shuō)明了HTTP存在的兩個(gè)安全問(wèn)題

• 明文
• 無(wú)法驗(yàn)證服務(wù)器的真實(shí)性

為了解決這兩個(gè)問(wèn)題，我們引入TLS(傳輸層安全)協(xié)議。運(yùn)行在TLS協(xié)議之上的HTTP協(xié)議稱作HTTPS，簡(jiǎn)而言之大家日常上網(wǎng)時(shí)盡量使用HTTPS網(wǎng)址來(lái)代替HTTP網(wǎng)址，就可以大大提到安全性了~

上篇結(jié)束，下篇會(huì)介紹下TLS的大致原理，解釋其為啥能夠保證安全。