HTTPS: защищённый протокол передачи данных¶
HTTPS (HyperText Transfer Protocol Secure) — расширение протокола HTTP, при котором обмен данными между клиентом и сервером осуществляется по шифрованному каналу. Обеспечивает конфиденциальность, целостность и аутентификацию сторон за счёт использования криптографических протоколов TLS (ранее SSL). Стандартный порт — 443. В адресной строке браузера обозначается префиксом https://` и символом замка.
¶Принцип работы
HTTPS не является самостоятельным протоколом передачи — это HTTP, «обёрнутый» в защищённый транспортный уровень. Перед началом обмена данными клиент и сервер выполняют TLS-рукопожатие:
- Клиент отправляет запрос с поддерживаемыми версиями TLS и наборами шифров.
- Сервер отвечает своим сертификатом, выданным удостоверяющим центром.
- Клиент проверяет сертификат по цепочке доверия.
- Стороны согласуют сессионный ключ (асимметричная криптография), которым далее шифруется симметричный трафик.
После рукопожатия весь HTTP-обмен (заголовки, тело запросов и ответов) передаётся в зашифрованном виде, что исключает перехват и подмену данных при прослушивании канала.
¶Криптографическая основа
Защита строится на сочетании асимметричного и симметричного шифрования. Асимметричные алгоритмы (например, RSA, ECDHE) применяются на этапе обмена ключами, симметричные (AES, ChaCha20) — для шифрования основного потока, поскольку они быстрее. Целостность обеспечивают коды аутентификации сообщений (HMAC, AEAD). Современные версии — TLS 1.2 и TLS 1.3; последняя сократила рукопожатие и убрала устаревшие шифры.
¶Сертификаты и удостоверяющие центры
Подлинность сервера подтверждается цифровым сертификатом X.509, подписанным удостоверяющим центром (CA). Сертификат содержит доменное имя, срок действия, открытый ключ и подпись CA. Браузер доверяет центрам из встроенного списка. Различают сертификаты:
- DV (Domain Validation) — подтверждают только владение доменом;
- OV (Organization Validation) — проверяют организацию;
- EV (Extended Validation) — расширенная проверка юридического лица.
Ошибки сертификата (истёк, самоподписанный, несовпадение имени) вызывают предупреждение браузера.
¶История
Протокол SSL разработан в Netscape в середине 1990-х (SSL 2.0 — 1995, SSL 3.0 — 1996). В 1999 году появился TLS 1.0 как стандарт IETF. SSL 2.0 и 3.0, а также TLS 1.0 и 1.1 признаны устаревшими и небезопасными. TLS 1.3 утверждён в 2018 году. Массовое распространение HTTPS началось в 2010-х благодаря инициативам Let's Encrypt (бесплатные сертификаты), переходу крупных сервисов и требованиям поисковых систем учитывать HTTPS при ранжировании.
¶Применение и значение
HTTPS применяется для веб-сайтов, интернет-магазинов, банковских сервисов, API, почтовых и мессенджер-клиентов. Он защищает пароли, платёжные данные, персональную информацию и сессии. Дополнительно протокол затрудняет цензуру и подмену контента провайдерами. Технологии HTTP/2 и HTTP/3 работают преимущественно поверх TLS.
¶Ограничения
HTTPS шифрует канал, но не гарантирует добросовестность самого сайта: фишинговые ресурсы также могут использовать сертификаты. Протокол не скрывает доменное имя и IP-адрес сервера от наблюдателя. Компрометация удостоверяющего центра или приватного ключа подрывает доверие ко всей цепочке.
IRONLIVE — база данных и аналитика по компаниям России.
На главную IRONLIVE →