Jak działa HTTPS?

HTTPS (Hypertext Transfer Protocol Secure) to protokół, który zapewnia bezpieczną transmisję danych między klientem (np. przeglądarką) a serwerem. Opiera się na HTTP, ale używa szyfrowania do ochrony przesyłanych informacji.

Działanie HTTPS opiera się na użyciu protokołu TLS (Transport Layer Security), który wcześniej nazywał się SSL (Secure Sockets Layer). TLS/SSL zapewnia trzy kluczowe aspekty bezpieczeństwa:

1. Szyfrowanie: Dane między klientem a serwerem są szyfrowane, co czyni je nieczytelnymi dla osób trzecich.
2. Integralność danych: Sprawdzane jest, czy dane nie zostały zmienione podczas transmisji.
3. Uwierzytelnianie: Serwer potwierdza swoją autentyczność klientowi.

Proces ustanawiania połączenia HTTPS obejmuje kilka etapów, zwanych "TLS/SSL Handshake":

1. Client Hello: Klient wysyła do serwera "Client Hello" zawierający:
   • Wersję TLS, którą obsługuje.
   • Listę obsługiwanych algorytmów szyfrowania (cipher suites).
   • Liczbę losową.
2. Server Hello: Serwer odpowiada "Server Hello", wybierając spośród zaproponowanych przez klienta:
   • Wersję TLS.
   • Jeden z algorytmów szyfrowania.
   • Liczbę losową.
   • Certyfikat serwera.
3. Certificate: Klient otrzymuje certyfikat serwera i sprawdza jego autentyczność:
   • Weryfikuje podpis cyfrowy certyfikatu, używając klucza publicznego urzędu certyfikacji (CA).
   • Sprawdza ważność certyfikatu.
   • Sprawdza, czy nazwa domeny w certyfikacie odpowiada żądanej.
4. Client Key Exchange: Klient generuje pre-mistrzowski sekret, szyfruje go kluczem publicznym certyfikatu serwera i wysyła do serwera.
5. Change Cipher Spec (Client): Klient informuje serwer, że jest gotowy do rozpoczęcia wymiany zaszyfrowanych danych.
6. Finished (Client): Klient wysyła zaszyfrowaną wiadomość z hashem wszystkich poprzednich wiadomości Handshake, aby sprawdzić integralność.
7. Change Cipher Spec (Server): Serwer odszyfrowuje pre-mistrzowski sekret, używając swojego klucza prywatnego, i generuje klucze symetryczne do szyfrowania sesji. Następnie informuje klienta, że jest gotowy do wymiany zaszyfrowanych danych.
8. Finished (Server): Serwer wysyła zaszyfrowaną wiadomość z hashem wszystkich poprzednich wiadomości Handshake.
9. Szyfrowany transfer danych: Po pomyślnym zakończeniu Handshake, klient i serwer używają wygenerowanych kluczy symetrycznych do szyfrowania wszystkich kolejnych danych.

W ten sposób HTTPS zapewnia bezpieczny kanał komunikacji, czyniąc przeglądanie internetu bezpieczniejszym.