今天看到一條新聞,說是銀聯(lián)提醒用戶注意網(wǎng)站的https前綴:
在識(shí)別網(wǎng)絡(luò)詐騙方面,銀聯(lián)特別提醒任何網(wǎng)購?fù)丝罹鶡o需提供銀行卡密碼和CVN2。任何索要短信驗(yàn)證碼的行為都是詐騙。在登錄網(wǎng)址時(shí),警惕所謂的“安全中心”“認(rèn)證中心”,不要輕信“低價(jià)”購物網(wǎng)站,并警惕通過郵件、短信、聊天工具發(fā)來的所謂“安全中心”“認(rèn)證中心”“擔(dān)保平臺(tái)”等釣魚網(wǎng)站鏈接。支付時(shí)留意“https”前綴。完成網(wǎng)購訂單進(jìn)入支付頁面時(shí),網(wǎng)址前綴會(huì)變成“https”,表示數(shù)據(jù)傳輸加密;若支付頁面網(wǎng)址前綴仍是“http”,請?zhí)岣呔琛?/p>
HTTPS是什么,它和我們常用的HTTP有什么不同呢?
傳統(tǒng)的HTTP通訊是不安全的,因?yàn)樵跒g覽器和服務(wù)器之間傳輸?shù)臄?shù)據(jù),有可能被中間節(jié)點(diǎn)截獲。互聯(lián)網(wǎng)的架構(gòu)決定了網(wǎng)絡(luò)通訊都不是點(diǎn)對點(diǎn)直接傳輸?shù)模粋€(gè)數(shù)據(jù)包從客戶端發(fā)送到服務(wù)器的過程中,當(dāng)中會(huì)經(jīng)過多個(gè)節(jié)點(diǎn)。通俗點(diǎn)說,數(shù)據(jù)包會(huì)先傳到家里的路由器,路由器再發(fā)送給它上一級的(可能是電信的)路由器,這么一級一級地傳出去,最終傳到了服務(wù)器端。這個(gè)過程中,每一個(gè)路由器都有機(jī)會(huì)截獲到傳輸?shù)膬?nèi)容。如果這些內(nèi)容中包含了密碼等重要信息,就有可能會(huì)被壞人所利用。
HTTPS中的S表示安全(Secure),它代表了瀏覽器和服務(wù)器之間的通訊是加密的,不可被第三方獲取。由HTTPS協(xié)議保證,除非得到服務(wù)器端的密鑰,否則(幾乎)無法破解出通訊的內(nèi)容。為什么說幾乎?因?yàn)楸┝ζ平庠诶碚撋鲜怯锌赡艿模且驗(yàn)楝F(xiàn)在的計(jì)算機(jī)性能的限制,暴力破解需要上億年的時(shí)間才能成功,所以說,暫時(shí)它是安全的。
那么怎樣的HTTPS才算是安全的?以Chrome為例,正常的HTTPS連接會(huì)顯示為綠色,其它的瀏覽器里大同小異。如下:
這兩種都是正常的,前一種是個(gè)人的HTTPS,后一種是企業(yè)的。如果瀏覽器認(rèn)為HTTPS有問題,它會(huì)顯示成紅色或者灰色,或者彈出對話框來提醒用戶。
經(jīng)過加密之后,基本可以認(rèn)為是所有數(shù)據(jù)都是安全的。具體來說,以下這些數(shù)據(jù)被加密了:
1.URL中的路徑、參數(shù);
2.發(fā)送(Post)的數(shù)據(jù);
3.接收的整個(gè)頁面的數(shù)據(jù);
唯一沒有被加密的部份是URL中的域名部分。以一個(gè)URL為例:
https://www.google.com/search?q=leonax&sourceid=chrome&ie=UTF-8
其中只有www.google.com這一段數(shù)據(jù)沒有加密,其余的/search?….外加網(wǎng)頁內(nèi)容,都是經(jīng)過加密的。
上文提到的過,本站也支持HTTPS,點(diǎn)擊這里試用一下,除了速度稍慢(安全的提升總是與性能的犧牲相關(guān)),其它并沒有什么與HTTP不同的地方。