Qual è la differenza tra http e https nella programmazione

Question

Sapevo solo che la "s" sta per "Secure", e un utente non dovrebbe mai inserire informazioni critiche su un sito Web che utilizza solo http. Ma voglio davvero sapere cosa fanno questi due protocolli influenzano la mia programmazione, ad esempio:

• Come fare qualche sito ha ottenuto il "https" e alcuni non (o forse non il modo in cui accendere e spegnere questa caratteristica, che Non lo so). Significa che devo registrarlo da qualche parte?

• Ho pensato tra me e me che la comunicazione in http non è crittografata, mentre alcune crittografie possono aver luogo in https, è corretto?

• E poiché il processo di crittografia (se presente) viene eseguito dal browser, di conseguenza, il mio codice sul lato server non ha nulla a che fare con "http" o "https", è corretto?

• C'è un modo per forzare l'utente a utilizzare solo https?

Answer 1

È necessario installare un certificato SSL sul server Web per abilitare HTTPS. Ciò consentirebbe di stabilire una connessione crittografata tra il browser client e il server e tutto il traffico HTTP verrà crittografato. Questo certificato è rilasciato da un'autorità fidata. È anche possibile generare un certificato a scopo di test, ma quando un browser client naviga nel sito Web emetterà un avviso che indica che questo certificato non è stato rilasciato da un'autorità attendibile.

È possibile forzare l'utilizzo di HTTPS configurando il server Web per reindirizzare automaticamente tutte le richieste HTTP all'endpoint HTTPS corrispondente.

È possibile cercare SSL/TLS.

Answer 2

• I siti che utilizzano il protocollo HTTPS utilizzano un certificato, rilasciato da un terzo di fiducia (o di una "autorità di certificazione"), che contiene una chiave pubblica (vedi: Public Key Infrastructure). La chiave pubblica è abbinata a una chiave privata e le informazioni crittografate con la chiave privata possono essere decodificate solo con la chiave pubblica. Questo è usato per confermare che il server è il detentore della chiave privata (ed è quindi l'entità certificata dall'autorità di certificazione). Per utilizzare il protocollo HTTPS, è necessario generare o acquistare un certificato. È più comune acquistare certificati piuttosto che generarli, per vari motivi.

• La comunicazione HTTPS è crittografata. Le chiavi associate al certificato non eseguono la crittografia, invece il browser e il server utilizzano uno schema come Diffie-Hellman Exchange per creare una chiave utilizzata nella crittografia delle comunicazioni. Questo è importante, perché chiunque abbia la chiave pubblica può decriptare cose cifrate con la chiave privata.

• Le informazioni inviate dal browser sono crittografate dal browser e decrittografate dal server. Il tuo software server Web decrittografa le informazioni; le informazioni ricevute non appariranno diverse dal traffico HTTP standard.

• Sì, è possibile forzare HTTPS. Puoi farlo tramite il tuo software server (ad esempio RewriteRule in Apache, con un controllo RewriteCond per HTTPS) o tramite HSTS, che implica l'invio di un'intestazione specifica. Se si invia un'intestazione HSTS in un browser che supporta HSTS, il browser reindirizzerà automaticamente da HTTP a HTTPS (vedere: HTTP Strict Transport Security).