怎么正确理解 HTTPS 的加密？

[Geo200]

最近刚开始学习 HTTPS，了解到 HTTPS 就是在 HTTP 的基础上加上 SSL/TLS 加密，但是我对非对称加密有很大的疑惑，下面是我对 HTTPS 理解（可能有误）引出的问题：以客户端账号密码登录为例

1.账号密码通过 CA 里的公钥加密后传到服务器，但是我的理解是公钥是任何人都能获取到的，那么数据不就跟 HTTP 一样属实明文传输了吗？第三方通过公钥就可以解密你的账号密码，那么这样公钥的加密意义在哪里？

2.公钥加密的内容传到服务器后，服务器怎么把私钥传回到客户端？如果还是通过公钥加密私钥，那么第三方还是可以通过公钥破解秘钥，那怎么防止第三方从中间窃取私钥？

3.题外话，怎么实验 HTTPS 服务器？我有一个树莓派搭建的 HTTP 服务器，但目前不知道怎么拿到合法的 CA 证书去升级。

[crayygy]

先协商，再加密

[tuzhenyu]

公匙加密私匙解密

[xiaoc19]

说实话 看到你用公钥解密这句话 我只想说 还是先学会 Google 吧

[xiaoc19]

我顿了下，看到你的第二个问题，我吓得准备把浏览器关了。。。

[mikulch]

https://www.zybuluo.com/mikumikulch/note/255232

[reus]

公钥加密的，只能私钥解密
私钥加密的，只能公钥解密

[janxin]

公私钥体系可以线研究下

[Geo200]

@xiaoc19 哈哈，我知道我的理解肯定是有问题的，只是不知道需要这个 HTTPS 牵扯到什么知识点才来发帖的，现在按 7 楼的建议先看下公私钥体系

[wizardoz]

非对称加密的重点是　公钥加密的信息只能私钥解密，私钥加密的信息只能公钥解密。
所以不存在发送在网络上发送私钥一说。
你自己随机生成一个对称加密算法的密钥，用公钥加密发送给对方，只有对方用自己的私钥解密才能得到你发送给它的密钥。然后对方可以用你的密钥加密信息发送给你。

当然，ＳＳＬ实际上比这个稍微复杂一点，但就是这个原理。

[clino]

https://www.amazon.cn/dp/B072LLMDBM

[Geo200]

@mikulch 谢干货，我再仔细研究下加密的过程

[crab]

服务器没发私钥啊。发的是公钥，在证书。
系统用内置已被信任证书公钥来验证你这个证书，取出公钥。
对称加密的密钥用公钥加密后再发给服务器，服务器私钥解密得到密钥。
后面通信就是用这个密钥了。

[crab]

推荐你看下这个 http://www.cnblogs.com/JeffreySun/archive/2010/06/24/1627247.html

[smileawei]

你自己都说了“非对称加密” 既然能知道这个词。为啥不百度下呢。https://baike.baidu.com/item/%E9%9D%9E%E5%AF%B9%E7%A7%B0%E5%8A%A0%E5%AF%86/9874417?fr=aladdin

[Cat73]

证书可以用免费证书，可以参考我的文章： https://blog.cat73.org/2017/07/16/https/

[timothyye]

私钥是绝对不能传给客户端的…… 客户端是不允许获取到私钥的。

[shuangguanQuail]

建议看看 https://www.cnblogs.com/zhuqil/archive/2012/07/23/2604572.html
非对称加密过程只是为了生成一个对称加密的密钥，然后之后的通信过程都是用的对称加密算法

[ahhui]

强烈建议楼主看这篇文章，整个 https 的协商过程写的很详细：
http://www.ruanyifeng.com/blog/2014/09/illustration-ssl.html

[pljhonglu]

等楼主学习完 https 再来看这里。

[sdpfoue]

1. 公钥加密的东西只能私钥才能解，所以叫非对称加密；这个过程并不（加密）传输用户的任何信息（用户名，密码），这个过程只是用非对称加密协商出一个对称加密算法的临时密钥。
2. 私钥只有服务器有，不需要回传。
3. 自己 google 去吧
补充一点： https 方法怕中间人攻击，所以不能随便向系统中添加信任证书，浏览器提出有风险的网站要重视不能直接点『继续访问』。去了解一下证书的信任链原理。