Как работает HTTPS на самом деле

HTTPS — это тот же HTTP, но поверх TLS. Он даёт три вещи: шифрование, целостность и подтверждение подлинности сервера. Разберём, откуда всё берётся.

Сертификат

Сервер предъявляет сертификат, подписанный доверенным удостоверяющим центром (CA). Сертификат подтверждает, что домен действительно принадлежит этому серверу. Браузер проверяет цепочку подписей до корневого CA, которому он доверяет по умолчанию.

Рукопожатие TLS

• Клиент и сервер договариваются о версии протокола и наборе шифров.
• Сервер присылает сертификат.
• Стороны согласовывают общий секрет (по схеме Диффи–Хеллмана).
• Дальше обмен идёт симметричным шифрованием — оно быстрее асимметричного.

Почему не шифровать всё асимметрично

Асимметричная криптография (RSA, ECDSA) удобна для обмена ключами и подписи, но медленнее симметричной. Поэтому её используют только на этапе рукопожатия, а дальше переходят на быстрый симметричный шифр.

Что это даёт на практике

Провайдер и промежуточные узлы не видят содержимое страниц и пароли. Подмена трафика обнаруживается. Пользователь видит замок и имя домена в адресной строке.