我每天都上网。你注意到网站之间的区别了吗？本文主要分析探讨https和http的异同，与大家分享。

有一天，产品王突然发现，自己的产品在电脑浏览器上打开，在微信浏览器里打开，都是提示“不安全”！用户看到这个应该有多不安。

谷歌对不安全网址的提示:

微信打开不安全网站时，提示“防诈骗防盗号，请勿支付或输入qq密码”:

小王感到无聊。我们什么也没做。为什么不安全？经过一番研究，原来我们自己产品的网站都是以http开头的，而不是https。与程哥哥沟通后，所有链接都换成了https，不会再有这样的提示了。

什么是http？

在搞清楚https是什么之前，我们首先要明白http是什么。

HTTP(超文本传输协议)是互联网上使用最广泛的网络传输协议，所有的WWW文件都必须符合这个标准。我们经常在我的网站上、手机上，甚至后台服务器上的很多界面上看到H5，都是通过HTTP协议实现的。

所以我们需要去百度，只需在浏览器中输入http://www.baidu.com，然后我们就可以访问百度的网站。当然，如果不输入http://，一般浏览器会自动为你完成这部分。

以谷歌Chrome为例，进入访问sports.sina.com.cn/nba/和新浪体育的NBA频道，然后点击地址栏复制网址。粘贴在任何地方:http://sports.sina.com.cn/nba/,，你会发现在前面的http://协议标志。

Http传输具有简单灵活的特点，但缺点是采用明文传输，请求和响应不会确认通信方，数据的完整性无法保护，传输的内容容易被窃取。

什么是https？为什么要用https？

HTTPS(全称:安全套接字层上的超文本传输协议)是一种以安全为目的的HTTP通道。在HTTP的基础上，通过传输加密和身份认证来保证传输过程的安全性。

网页内容通过https传输后，客户端和服务器会使用“非对称加密算法”来交换密钥。服务器，也就是上图的小红，会先生成一个公钥和一个私钥。然后用证书封装好公钥后，把证书交给用户，也就是上图中的小明。

什么是证书？

CA是指证书颁发机构(certificate authority，简称CA)颁发给相应公司的数字证书，即颁发数字证书的机构。CA是负责颁发和管理数字证书的权威机构，作为电子商务交易中的可信第三方，负责验证公钥系统中公钥的合法性。一般来说，证书业务是要收费的。

世界上有许多认证机构。程兄弟也可以生成自己的证书，但是很多证书都是“不可信”的。我们使用微信、谷歌Chrome浏览器、iPhone iOS系统等。，只选择信任那些有信誉的证书颁发机构颁发的证书。

认证机构就像我们用的四通一达快递一样。大家选择他们是因为觉得值得信赖，快递被替代的可能性低。而那些小公司，或者自己出具的证明，就像一个闻所未闻的快递公司。当你选择它们收发快递的时候，不是不能用，而是被快递员偷的概率可能会上升。

获得服务器给出的证书后，用户觉得证书可信，然后打开获取里面的公钥。同时，用户会生成一串随机字符串，然后用服务器的公钥对字符串进行加密，并将加密的内容发送给服务费。

服务器获得用户发送的密文后，用私钥解密，获得用户的密码。这个过程称为非对称加密。

服务器知道用户的密码后，双方在传输数据前用用户生成的密码加密数据，然后传输给对方，对方再用这个密码解密。当使用相同的密钥进行解密时，这个过程称为对称加密。

这就是https传输的过程。一是非对称加密传输，供双方获得一个对称的加密密钥，然后双方用这个对称密钥加密数据传输，可以兼顾安全性和速度。由于采用密文传输，此时第三方无法窃听到用户与服务器之间传输的内容，此时网站的安全性提高。

然而就在这个时候，小王想起了另一个问题。通常，有一个错误。成的兄弟们总是谈论抢包。他们不得不抓住袋子，看看是什么传输导致了错误。我们网站使用https协议后，数据被加密，所以不知道传输的是什么。事后遇到bug怎么办？然后程序员哥哥会心地笑了笑，说，其实也没什么。https也可以捕获数据包。你只需要安装一个证书。

https数据包捕获原理

前面提到，服务器在给用户发送公钥的时候，是用一个证书来封装公钥的，就像我们给别人寄东西的时候，先装在快递袋里，然后再发出去。如果我们选择一个不靠谱的快递公司，快递员偷偷拆开快递袋，把里面的东西改一下(或者只是拆开看看里面是什么)，重新包装，然后继续把快递交给对方，这样就实现了抓取https的包裹的过程。

程的哥哥说的“安装证书”其实就是信任抓包软件的第三方证书，然后这个“黑心快递员”就会充当不诚实的中间人，窃取客户端生成的对称密钥，然后不断记录用户和服务器之间传输的密文，用窃取的密钥解密，就可以知道双方之间传输的内容。

王此时恍然大悟。难怪网上经常说，电脑和手机不要乱装软件。虽然网站使用https对传输的内容进行加密，但是如果你在手机上安装了类似于抓包软件的病毒软件，这个时候就相当于把你的账号密码和聊天内容给泄露了！

本文由@ icher原创发布。大家都是产品经理，未经作者允许，禁止转载。

题目来自Unsplash，基于CC0协议。