更多互聯(lián)網(wǎng)科普，歡迎點(diǎn)擊右上角關(guān)注我~
差評(píng)君昨天閑來(lái)無(wú)事想上個(gè)淘寶，結(jié)果發(fā)現(xiàn)瀏覽器報(bào)了個(gè)問(wèn)題，說(shuō)鏈接不安全。。。
上網(wǎng)搜了搜，發(fā)現(xiàn)不止差評(píng)君一個(gè)人遇到這個(gè)問(wèn)題。
背后的原因很明顯：證書(shū)過(guò)期了。
這個(gè)證書(shū)。。。準(zhǔn)確地說(shuō)，是數(shù)字證書(shū)。
干嘛用的呢？
自我證明：證明你上的淘寶網(wǎng)真的是淘寶網(wǎng)。
你可能會(huì)好奇，淘寶網(wǎng)的域名 taobao 這么多年下來(lái)都沒(méi)變過(guò)，有啥好證明的？？？
一般來(lái)說(shuō)，上網(wǎng)的時(shí)候用的是 HTTP 協(xié)議訪問(wèn)網(wǎng)頁(yè)。
你在地址欄輸入網(wǎng)址，再按下回車的過(guò)程，實(shí)際上是通過(guò)瀏覽器發(fā)送一個(gè)請(qǐng)求。
服務(wù)器收到請(qǐng)求以后，會(huì)還給你一個(gè)網(wǎng)頁(yè)文件，一般來(lái)說(shuō)長(zhǎng)這樣。
瀏覽器會(huì)把這一串密密麻麻的東西，轉(zhuǎn)化成這個(gè)樣子
黑客獲得你的網(wǎng)絡(luò)權(quán)限以后，可以在你輸入 taobao 并回車時(shí)，把請(qǐng)求截取，然后還給你個(gè)調(diào)包過(guò)的文件。
這個(gè)文件可以是個(gè)釣魚(yú)頁(yè)面，在不知情的時(shí)候往里輸入賬號(hào)密碼的話，就完蛋了。
以前訪問(wèn)網(wǎng)站的時(shí)候，用的是 HTTP ，“ 超文本傳輸協(xié)議 ” ，網(wǎng)站的開(kāi)頭是 " http:// " 起始。
后來(lái)工程師們覺(jué)得這不安全，有類似上面提到的調(diào)包風(fēng)險(xiǎn)，就在 HTTP 上添加了一層加密算法，并命名為 HTTPS ， “ 超文本傳輸安全協(xié)議 ” 。
數(shù)字證書(shū)一般是由一些權(quán)威機(jī)構(gòu)頒發(fā)的，這些機(jī)構(gòu)叫 CA （ Certificate Authority ）。
京東的證書(shū)簽發(fā)者
CA 就好比是給人發(fā)身份證的機(jī)構(gòu)，權(quán)威性非常高。
一家網(wǎng)站申請(qǐng)證書(shū)時(shí)，CA 要去仔細(xì)審查這家網(wǎng)站，同時(shí)再給這些網(wǎng)站配一套加密工具 （ 公鑰和密鑰 ）。
這就類似公安審查一個(gè)新生兒的狀況，然后給他/她添加戶口。
瀏覽器會(huì)記住這些證書(shū)頒發(fā)機(jī)構(gòu)，保存起來(lái)。
當(dāng)你訪問(wèn)淘寶網(wǎng)時(shí)，淘寶網(wǎng)會(huì)給瀏覽器（ 也就是客戶端 ）看自己的證書(shū)，同時(shí)把上文提到的加密工具里的 “ 公鑰 ” 一起發(fā)過(guò)去，類似出示身份證。
瀏覽器接收到證書(shū)之后，會(huì)拿著證書(shū)找頒發(fā)機(jī)構(gòu)驗(yàn)證一下，這一步類似找公安網(wǎng)絡(luò)驗(yàn)證身份證。
驗(yàn)證有效以后還沒(méi)完，這只能證明證書(shū)是有效的而已，但萬(wàn)一是頂替的呢？
隨后瀏覽器掏出發(fā)來(lái)的公鑰，加密一段消息，和淘寶網(wǎng)通信一下，如果是真的淘寶網(wǎng)，對(duì)方有 “ 公鑰 ” 對(duì)應(yīng)的 “ 私鑰 ” 來(lái)解密。
這個(gè)過(guò)程叫做非對(duì)稱加密，常見(jiàn)的算法有 RSA 。
實(shí)際情況比差評(píng)君描述的還要復(fù)雜：
數(shù)字證書(shū)可能會(huì)被篡改，因此還需要數(shù)字簽名來(lái)驗(yàn)證證書(shū)沒(méi)被篡改過(guò)。
RSA 算法的背后，是美麗的數(shù)學(xué)和偉大的工程實(shí)現(xiàn)。
總而言之，訪問(wèn)淘寶網(wǎng)不只是簡(jiǎn)單的輸入地址到達(dá)目的地，事實(shí)上這個(gè)過(guò)程中簡(jiǎn)直演了一出諜戰(zhàn)戲。
HTTPS 這一套方案很有效，現(xiàn)在也被廣泛使用，一些主流瀏覽器，例如谷歌的 Chrome 從去年開(kāi)始把所有的 HTTP 標(biāo)記為不安全。
當(dāng)然，這是一個(gè)工程方案，肯定存在短板。
首先，也是這次淘寶網(wǎng)碰到的問(wèn)題：忘記續(xù)費(fèi)的話，就會(huì)被標(biāo)記為不安全。。。
這次的過(guò)期日子是 11 月 22 日，也就是周四，然而他們應(yīng)該是忘記及時(shí)續(xù)上了。
那能不能一次性買個(gè)幾十年？
也不是不行，這樣就不用惦記著續(xù)了。
但是萬(wàn)一頒發(fā)的 CA 出了什么幺蛾子，這錢就花冤枉了；而且同一套加密用很久不更新，挺不安全的。
因此像淘寶網(wǎng)這種正規(guī)大型網(wǎng)站，都是一年一續(xù)。
其次是。。。 CA 說(shuō)白了還是一套中心化管理，也就是默認(rèn)大家相信一個(gè)權(quán)威。
但這個(gè)權(quán)威其實(shí)是收錢辦事的，萬(wàn)一為了利益倒賣證書(shū)，或者和幾個(gè)合作的巨頭聯(lián)合打壓競(jìng)爭(zhēng)對(duì)手，那信用體系就崩壞了。
賽門鐵克 （ 殺毒軟件諾頓的開(kāi)發(fā)商 ）就爆出過(guò)證書(shū)丑聞。
所以說(shuō)，目前這一套系統(tǒng)不是沒(méi)有問(wèn)題，安全技術(shù)永遠(yuǎn)在陽(yáng)光照不到的地方，和安全問(wèn)題做著斗爭(zhēng)。
這也是大家如此憧憬區(qū)塊鏈技術(shù)的原因之一 --去中心化的加密在很多場(chǎng)景都會(huì)非常有用。
對(duì)于吃瓜群眾來(lái)說(shuō)，雖然你不用看懂證書(shū)，但碰到被瀏覽器標(biāo)記為 “ 不安全 ” 的網(wǎng)站，還是要謹(jǐn)慎一些。
圖片來(lái)源：StudioRui Marketingtaobaoinstant SSLjd參考資料：Instant SSLsegmentfault @seanlook SSL/TLS原理詳解維基百科 “ HTTPS ”V2EX 帖子 “ 淘寶，你家證書(shū)過(guò)期了。 ”
