单向认证-双向认证

简介

HTTPS是在HTTP的基础上和ssl/tls证书结合起来的一种协议,保证了传输过程中的安全性,减少了被恶意劫持的可能.很好的解决了解决了http的三个缺点（被监听、被篡改、被伪装）

CA 证书

CA证书是由CA（Certification Authority）机构发布的数字证书。其内容包含：电子签证机关的信息、公钥用户信息、公钥、签名和有效期。这里的公钥服务端的公钥，这里的签名是指：用hash散列函数计算公开的明文信息的信息摘要，然后采用CA的私钥对信息摘要进行加密，加密完的密文就是签名。 即：证书 = 公钥 + 签名 +申请者和颁发者的信息。 客户端中因为在操作系统中就预置了CA的公钥，所以支持解密签名（因为签名使用CA的私钥加密的）

HTTPS

HTTP + 加密 + 认证 + 完整性保护 = HTTPS

认证过程

1. 客户端发起HTTPS请求，将SSL协议版本的信息发送给服务端。

2. 服务端去CA机构申请来一份CA证书，在前面提过，证书里面有服务端公钥和签名。将CA证书发送给客户端

3. 客户端读取CA证书的明文信息，采用相同的hash散列函数计算得到信息摘要（hash目的：验证防止内容被修改），然后用操作系统带的CA的公钥去解密签名（因为签名是用CA的私钥加密的），对比证书中的信息摘要。如果一致，则证明证书是可信的，然后取出了服务端公钥

4. 客户端生成一个随机数（密钥F），用刚才等到的服务端B_公钥去加密这个随机数形成密文，发送给服务端。

5. 服务端用自己的B_私钥去解密这个密文，得到了密钥F

6. 服务端和客户端在后续通讯过程中就使用这个密钥F进行通信了。和之前的非对称加密不同，这里开始就是一种对称加密的方式

双向认证

认证过程

1. 客户端发起HTTPS请求，将SSL协议版本的信息发送给服务端。

2. 服务端去CA机构申请来一份CA证书，在前面提过，证书里面有服务端公钥和签名。将CA证书发送给客户端

3. 客户端读取CA证书的明文信息，采用相同的hash散列函数计算得到信息摘要（hash目的：验证防止内容被修改），然后用操作系统带的CA的公钥去解密签名（因为签名是用CA的私钥加密的），对比证书中的信息摘要。如果一致，则证明证书是可信的，然后取出了服务端公钥

4. 客户端发送自己的客户端证书给服务端，证书里面有客户端的公钥：C_公钥

5. 客户端发送支持的对称加密方案给服务端，供其选择

6. 服务端选择完加密方案后，用刚才得到的C_公钥去加密选好的加密方案

7. 客户端用自己的C私钥去解密选好的加密方案，客户端生成一个随机数（密钥F），用刚才等到的服务端B公钥去加密这个随机数形成密文，发送给服务端。

8. 服务端和客户端在后续通讯过程中就使用这个密钥F进行通信了。和之前的非对称加密不同，这里开始就是一种对称加密的方式

参考

• 扯一扯HTTPS单向认证、双向认证、抓包原理、反抓包策略

• HTTPS 建立连接的详细过程

• Nginx配置Https单向、双向认证

• An Introduction to Mutual SSL Authentication

• Configuring Certificate-Based Mutual Authentication with Kubernetes Ingress-Nginx