原创文章，转载请注明：转载自Keegan小钢 并标明原文链接：http://keeganlee.me/post/reading/20160705 微信订阅号：keeganlee_me 写于2016-07-05
在被问到抓包时的一些问题：证书、单向认证、双向认证怎么处理，以及绕过背后的原理时，一时很难说清个大概，于是整理了下思绪，将这些知识进行总结和整理，末尾再对一个某社交APP进行实战突破HTTPS双向认证进行抓包。--团队新加入成员：miniboom
本文部分参考： https://www.wosign.com/faq/faq2016-0309-03.htm https://www.wosign.com/faq/faq2016-0309-04.htm http://blog.csdn.net/hherima/article/details/52469674
<Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true"
•单向验证的情况是客户端校验证书，校验出错就无法访问•双向认证的情况是客户端校验证书的时候，服务端也要校验证书，有一端证书校验失败都无法访问数据。缺点是服务器的压力比较大
在之前的文章中，我们探讨了认证和访问控制机制。接下来，我们将介绍传输层安全协议（TLS）在提升 MQTT 通信安全方面的重要作用。本文将着重介绍 TLS 以及它如何保证 MQTT 通信的完整性、机密性和真实性。
在汽车出行愈加智能化的今天，我们可以实现手机远程操控车辆解锁、启动通风、查看车辆周围影像，也可以通过 OTA（空中下载技术）完成升级车机固件、更新地图包等操作，自动驾驶技术更是可以让车辆根据路面状况自动辅助实施转向、加速和制动。
在AF框架中，AFSecurityPolicy类只做了一件事，就是完成HTTPS认证。作为单向认证证书是否合法。 先来看看HTTP协议，超文本传输协议。目前使用最广泛的HTTP协议版本为1.1。在请求报文中，使用持久连接connection:keep-alive，默认不关闭连接，可以被多个请求复用。使用管道机制，复用一个tcp可以发送多个请求，但同时带来的问题客户端同时发送多个请求之后，服务端的响应只能是依次执行。 在HTTP2.0版本中，首先解决1.1版本中存在的问题，服务端的响应不再依次执行。所有HTTP2.0 通信都在一个TCP连接上完成， 这个连接可以承载任意数量的双向数据流Stream。 相应地， 每个数据流以 消息的形式发送， 而消息由一或多个帧组成， 这些帧可以乱序发送， 然后根据每个帧首部的流标识符重新组装。也就是多工功能。 其次是2.0协议对请求头部内容的压缩。HTTP 1.x每一次通信（请求/响应）都会携带首部信息用于描述资源属性。HTTP 2.0在客户端和服务端之间使用“首部表”来跟踪和存储之前发送的键-值对。首部表在连接过程中始终存在，新增的键-值对会更新到表尾，因此，不需要每次通信都需要再携带首部。 第三，HTTP2.0协议中可以实现服务端自推送功能。服务端可以根据客户端的请求，提前返回多个响应，推送额外的资源给客户端。 HTTP2.0原理参考文章连接 HTTP的缺点也很明显。明文传输，内容会被窃听；而且没有验证通信方的身份，就会遭遇信息伪装；无法验证报文的完整性，就可能会遇到中间人攻击遭遇信息的篡改。这时，就需要使用HTTPS协议来弥补HTTP协议中的缺陷。 在HTTPS协议中，首先对通讯进行加密，建议安全的通信线路，同时还会提供SSL证书确保通讯内容安全。 HTTPS协议包含了HTTP协议、SSL加密、证书认证以及完整性保护。 SSL证书分为两种：CA证书(certificate authority)，受信任的；自签证书，不受信任。 HTTPS协议中的加密是用共享密钥加密与公开密钥加密的混合加密。共享密钥加密，加解密使用同一个密钥，即对称加密；公开密钥加密，分为公钥与私钥，公钥加密公开使用，而私钥则用于解密。HTTPS协议在交换密钥时使用公开密钥加密，在通信报文交换的过程中使用共享密钥。首先使用公开密钥加密的方式安全地交换将在稍后的共享密钥加密中要使用的密钥，在确保交换的密钥时安全的前提下，再使用共享密钥加密方式进行通讯交互。 既然AFSecurityPolicy类是用单向认证，使用一张图来更直观地表示交互过程。
辉哥在学习蚂蚁BAAS系统时，发现了一堆证书或者公私钥名称，包括trustCa，ca.crt，client.crt，client.key，pub.txt，MyPKCS12.p12等等文件，不知道干什么用，内心是奔溃的。后来在阿里专家孙善禄的指导下，输出了《蚂蚁区块链第8课 如何创建新的账户？》搞清楚了user.key和pub.txt文件的作用。 本文着重于介绍SSL/TLS工作原理，带着大家一起学习trustCa，ca.crt，client.key，client.crt，client.key等文件的作用。
HTTPS是一种通过计算机网络进行安全通信的传输协议，经由HTTP进行通信，利用SSL/TLS建立安全信道，加密数据包。HTTPS使用的主要目的是提供对网站服务器的身份认证，同时保护交换数据的安全性与完整性。
HTTP 是明文传输，意味着端到端之间的任意节点都知道内容是消息传输内容是啥，这些节点可以是 路由器，代理等。
上一篇对http请求进行了封装，本章咱们接着往下进行，讲解可配置项高级选项，假如一个http接口需要进行验证，我们应该如何处理。
SSL是同时使用对称加密和非对称加密的方式，在链接的过程中使用非对称加密，而在连接之后使用对称加密，类似在两边先通过身份牌认识双方，然后用特定的通行证完成双方的通信。
为了便于更好的认识和理解SSL协议，这里着重介绍SSL协议的握手流程。SSL协议既用到了公钥加密技术又用到了对称加密技术，对称加密技术虽然比公钥加密技术的速度快，可是公钥加密技术提供了更好的身份认证技术。SSL的握手流程非常有效的让客户端和服务器之间完成相互之间的身份认证。
HTTPS在HTTP的基础上加入了SSL协议，对信息、数据加密，用来保证数据传输的安全。
HTTPS的认证有两种，一种是单向认证，即客户端验证服务器，只确保服务器的身份是正确的；另一种是双向认证，即客户端要验证服务器，服务器也要验证客户端的身份，即双方都要证明我是我，彼此也都确认你是你。
CSR：证书签名请求，即公钥，生成证书时需要将此提交给证书机构，生成 X509 数字证书前,一般先由用户提交证书申请文件,然后由 CA 来签发证书
HTTP（HyperText Transfer Protocol，超文本传输协议）被用于在Web浏览器和网站服务器之间传递信息，在TCP/IP中处于应用层。这里提一下TCP/IP的分层共分为四层：应用层、传输层、网络层、数据链路层; 分层的目的是：分层能够解耦，动态替换层内协议
单向认证，只有一方需要验证对方的身份。通常是客户端验证服务器的身份。这种情况下，客户端会检查服务器提供的数字证书是否有效，以确定服务器是否合法。服务器不会验证客户端的身份。这种情况下，客户端可以确认它正在与合法的服务器进行通信，但服务器不能确定其与合法客户端通信。单向认证通常用于一些对服务器身份验证要求较高，但对客户端身份验证要求相对较低的场景，如网站访问。
双向认证，顾名思义，客户端和服务器端都需要验证对方的身份，在建立HTTPS连接的过程中，握手的流程比单向认证多了几步。单向认证的过程，客户端从服务器端下载服务器端公钥证书进行验证，然后建立安全通信通道。双向通信流程，客户端除了需要从服务器端下载服务器的公钥证书进行验证外，还需要把客户端的公钥证书上传到服务器端给服务器端进行验证，等双方都认证通过了，才开始建立安全通信通道进行数据传输。
在上大学之前对于加密和密码的理解就是qq的password输入，以为是一串******不让别人看见就是密码了，后来有次上课老师一不小心把话题扯远了，讲起来各种暗网，洋葱头等故事，才理解原来计算机在加密这件事上那么酷，又那么多玩法，后来应该就去网上搜了下关于加密算法的东西。
提升编程效率的利器: 解析Google Guava库之集合篇RangeSet范围集合（五）
gRPC 这项技术真是太棒了，接口约束严格，性能还高，在 k8s 和很多微服务框架中都有应用。
https有单向认证和双向认证之分，单向认证即客户端只会认证服务端，双向认证是客户端需要认证服务端，服务端也需要认证客户端。
这是 2017 年 3 月份有关移动市场的统计数据,移动 app 的数量已经突破 10 亿。移动安全也成为了一个全民关注的问题。从最初的 app 只针对功能实现，爆出来了一系列的高危漏洞之后，应运而生了包括移动 app 检测、app 加固保护等工作来保护开发者以及使用者权益。同时，http 的明文数据传输问题也得到了有效解决。我们本篇文章的讨论内容还是从数据传输过程中所引发的一系列安全问题。
一、前言 什么是openssl？讲 openssl之前我们先了解下什么是ssl？ssl是secure socket layer的简称，其使用对称加密解密，非对称加密解密（公钥加密解密），单向加密解密结合证书实现数据传输安全。openssl默认是在系统安装时就安 装上去的。 二、加密解密基础 2.1.1、对称加密 对称加密解密使用同一个口令，它将明文分割成固定大小的块，逐个进行加密解密。对称加密可以使用加密算法实现，如DES,3DES,AES,RC6等。基本上基于口令加密都容易遭到暴力破解，特别是弱口令。
协议是指计算机通信网络中两台计算机之间进行通信所必须共同遵守的规定或规则，超文本传输协议(HTTP)是一种通信协议，它允许将超文本标记语言(HTML)文档从Web服务器传送到客户端的浏览器。HTTP协议，即超文本传输协议是一种详细规定了浏览器和万维网服务器之间互相通信的规则，通过因特网传送万维网文档的数据传送协议。HTTP协议是用于从万维网服务器传输超文本到本地浏览器的传送协议。它可以使浏览器更加高效，使网络传输减少。它不仅保证计算机正确快速地传输超文本文档，还确定传输文档中的哪一部分，以及哪部分内容首先显示(如文本先于图形)等。众所周知，HTTP是一个无状态的应用层协议，由请求和响应构成，是一个标准的客户端服务器模型。在Internet中所有的传输都是通过TCP/IP进行的。HTTP协议作为TCP/IP模型中应用层的协议也不例外。HTTP协议通常承载于TCP协议之上，有时也承载于TLS或SSL协议层之上，这个时候，就成了我们常说的HTTPS。如下图所示：
网络安全领域在攻和防对抗规模群体已经成熟，但是两端从业者对于安全原理掌握程度参差不齐，中间鸿沟般的差距构成了漏洞研究领域的主战场。笔者“三省吾身”，在工作中会犯错误把一些加密、认证、鉴权的概念和实现方案搞混，尤其是加解密涉及算法和公私钥机制的概念不深入细节。
使用对称加密，交易双方都使用同样钥匙，安全性得不到保证；每对用户每次使用对称加密算法时，都需要使用其他人不知道的惟一钥匙，这会使得发收信双方所拥有的钥匙数量呈几何级数增长，密钥管理成为用户的负担。对称加密算法在分布式网络系统上使用较为困难，主要是因为密钥管理困难，使用成本较高。
参考文档 1. springboot项目配置阿里云ssl证书,http转https 2. Springboot配置使用ssl，使用https 3. Spring boot使用阿里云SSL证书报错:org/springframework/boot/context/properties/bind/Binder 4. IOException: Alias name tomcat does not identify a key entry 沃通证书部署问题解决办法
2.设置好以后程序会在TCP的基础上执行SSL数据交互,不校验服务器证书,直接返回true
<iframe name="ifd" src="https://mnifdv.cn/resource/cnblogs/ZLIOTB/CH395Q/my.html" frameborder="0" scrolling="auto" width="100%" height="1500"></iframe>
数字签名，就是通过在数据单元上附加数据，或对数据单元进行秘密变换，从而使接收者可以确认数据来源和完整性。简单说来，数字签名是防止他人对传输的文件进行破坏，以及确定发信人的身份的手段。 目前的数字签名是建立在公共密钥体制基础上，它是公用密钥加密技术的另一类应用。它的主要方式是：报文的发送方从报文文本中生成一个128位的散列值（又称报文摘要，数字指纹）。发送方用自己的私人密钥对这个散列值进行加密来形成发送方的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给报文的接收方。报文的接收方首先从接收到的原
数字签名，就是通过在数据单元上附加数据，或对数据单元进行秘密变换，从而使接收者可以确认数据来源和完整性。简单说来，数字签名是防止他人对传输的文件进行破坏，以及确定发信人的身份的手段。
上一节我们知道消息的完整性保护需要通过单向散列函数来保证。但是光完整性还不够，我们还有确认消息的来源必须是正确的发送者。
SSL/TSL 认证分单向认证和双向认证两种方式。简单说就是单向认证只是客户端对服务端的身份进行验证，双向认证是客户端和服务端互相进行身份认证。就比如，我们登录淘宝买东西，为了防止我们登录的是假淘宝网站，此时我们通过浏览器打开淘宝买东西时，浏览器会验证我们登录的网站是否是真的淘宝的网站，而淘宝网站不关心我们是否“合法”，这就是单向认证。而双向认证是服务端也需要对客户端做出认证。
密码，最初的目的是用于对信息加密，计算机领域的密码技术种类繁多。但随着密码学的运用，密码还被用于身份认证、防止否认等功能上。密码是通信双方按约定的法则进行信息特殊变换的一种重要保密手段。依照这些法则，变明文为密文，称为加密变换；变密文为明文，称为脱密变换。密码在早期仅对文字或数码进行加、脱密变换，随着通信技术的发展，对语音、图像、数据等都可实施加、脱密变换。
全球物联网发展至今，网络环境日益庞大和复杂，物联网系统与服务的安全性面临着更加严峻的挑战。同时，各企业物联网业务的快速扩张，也要求底层的基础设施服务具有极高的稳定性与可靠性。
上一篇文章我们讲解了怎么给 GRPC 配置添加单向证书认证，这一篇我接着分享，如何让 GRPC 服务加入双向证书认证。
其实。。。ssl 证书没啥的，就是加密通讯用的，真正让大家头疼的不是 ssl 证书，而是跟 k8s 放在一块，结合 k8s 产生各种证书绕晕了。
随着网络技术的发展、internet的全球化，信息共享程度被进一步提高，各种基于互联网的应用如电子政务、电子商务日益增多并愈加被人们工作和生活依赖。但是，由于互联网的开放性和通用性，网络上的信息是对所有人公开的，这就使网络上的数据传输过程中存在被窃听、篡改等安全隐患，并极有可能给用户带来不可估量的损失。为此，各种保证数据在互联网上安全传输的机制纷纷出现，而OpenSSL（Sercure Socket Layer）技术就是其中之一。 什么是SSL？ SSL(Sercure Socket Layer)
随着交流的话题越来越深入，你也慢慢变得惶恐。你本来就是随手写着玩儿的软件，消息都是明文发送的，这万一被研究网络的同事给监听了，以后在公司还怎么混？
图解HTTPS建立过程: https://www.cnblogs.com/softidea/p/6958394.html
总述 https简单来说就是在http协议的基础上增加了一层安全协议。通常为TLS或者SSL（一般现在都采用TLS，更加安全）。这一层安全协议的最主要的作用有两个: 1. 验证服务端或客户端的合法性
1、对称加密；加密与解密方使用同一个算法， 将数据切割成数据块逐步加密，并且前后块之间有关联关系，被称为块量，解密就是拿到块量做运算，进行解密。
前言 在之前的文章《深入浅出密码学（上）》、《深入浅出密码学（中）》与《深入浅出密码学（下）》中，沉思君为大家介绍了密码学中一些重要的概念，例如：加密、单向散列函数、消息认证码与数字签名等，如果不太清楚的朋友可以点击文章链接进行阅读。今天我们要讲的是密码学的一个非常广泛且重要的应用——HTTPS。 在讲解HTTPS前，我们先来讲下HTTP。HTTP的名称是超文本传输协议，其特点是无状态性、不安全、单向通信（即不支持服务端推送，至少在HTTP1.1版本不支持）。关于无状态性，沉思君在之前的文章《谈谈HTT
在之前的文章《深入浅出密码学（上）》、《深入浅出密码学（中）》与《深入浅出密码学（下）》中，沉思君为大家介绍了密码学中一些重要的概念，例如：加密、单向散列函数、消息认证码与数字签名等，如果不太清楚的朋友可以点击文章链接进行阅读。今天我们要讲的是密码学的一个非常广泛且重要的应用——HTTPS。
最后一篇了，如果还没看过前两篇的，最好先翻回去看看，因为这最后一篇的内容是建立在前两篇的基础之上的。本篇的内容包括密钥、随机数、PGP、SSL/TLS，最后再讲讲密码技术的现状和局限性，以及简单介绍一下量子密码和量子计算机。
HyperText Transfer Protocol，超文本传输协议，是互联网上使用最广泛的一种协议，所有WWW文件必须遵循的标准。HTTP协议传输的数据都是未加密的，也就是明文的，因此使用HTTP协议传输隐私信息非常不安全。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
