Что такое протокол HTTPS и принципы его работы

Если браузер помечает сайт как «Не защищено», значит, он работает по HTTP. HTTPS решает эту проблему: шифрует данные и подтверждает подлинность сайта. В статье разберем, как устроен HTTPS, чем отличается от HTTP и какие технологии его дополняют.

Чтобы быстро проверить, работает ли сайт по HTTPS, посмотрите на адресную строку браузера: адрес должен начинаться с https://, а рядом отображается значок «замок». Если значка нет или браузер пишет «Не защищено», сайт работает по HTTP.

Незащищённое соединение в Яндекс.Браузере

Что такое защищенное соединение HTTPS

HTTPS (HyperText Transfer Protocol Secure) — это защищенный протокол передачи данных, который поддерживает шифрование посредством криптографических протоколов TLS (SSL) и является расширенной версией протокола HTTP.

У HTTP есть важный недостаток: данные передаются без шифрования. Злоумышленник может вмешаться в передачу, перехватить их или изменить. Чтобы защитить данные, был создан HTTPS. Он работает благодаря SSL/TLS-сертификату — цифровой подписи сайта, которая подтверждает его подлинность. Браузер запрашивает сертификат и обращается к центру сертификации. Если документ действителен, браузер устанавливает защищенное соединение. Буква S в названии означает Secure — защищенный.

Как работает HTTPS: пошагово

Соединение устанавливается в несколько этапов.

Шаг 1. TLS-рукопожатие. Браузер и сервер договариваются о параметрах шифрования и проверяют сертификат.

Шаг 2. Проверка сертификата. Браузер обращается к центру сертификации и убеждается, что сертификат действителен и выдан этому сайту.

Шаг 3. Обмен ключами. Стороны создают сессионный ключ, который будет использоваться только для этого соединения. Для этого применяется асимметричное шифрование.

Шаг 4. Шифрование данных. Весь дальнейший трафик шифруется симметричным ключом. Сторонний наблюдатель видит только набор символов.

Ключи шифрования

HTTPS использует 2 типа ключей: асимметричный и симметричный.

Сначала браузер и сервер обмениваются асимметрично зашифрованными сообщениями и договариваются о симметричном ключе. Далее обмен данными идет с помощью симметричного шифрования, потому что оно быстрее.

Пример работы HTTPS

Рассмотрим, как это происходит на практике. Пользователь открывает сайт, работающий по HTTPS.

Как работает HTTPS протокол

Чем протокол HTTPS отличается от HTTP

Главное отличие: HTTP передает данные без шифрования, поэтому их можно перехватить. HTTPS защищает передачу и подтверждает подлинность сайта. Без HTTPS браузеры помечают ресурс как небезопасный, а часть функций браузера не работает.

Современные технологии HTTPS

HTTPS развивается: обновляются протоколы шифрования и передачи данных. Чтобы сайт работал быстро и безопасно, стоит проверить поддержку 3-х технологий: TLS 1.3, HSTS и HTTP/3.

TLS 1.3

TLS 1.3 — актуальная версия протокола шифрования. Она сокращает рукопожатие с 2-х круговых путей до одного, поэтому соединение устанавливается быстрее. Из TLS 1.3 удалены устаревшие алгоритмы: RC4, SHA-1, MD5, DES, 3DES. Это делает протокол устойчивее к атакам. Сервер, который поддерживает только TLS 1.2, все еще работает, но TLS 1.3 предпочтительнее для новых проектов.

HSTS

TLS защищает соединение, но не мешает пользователю ввести http:// вручную. В этом случае первый запрос уйдет незашифрованным. HSTS (HTTP Strict Transport Security) закрывает эту уязвимость: сервер отправляет специальный заголовок, и браузер запоминает правило всегда подключаться по HTTPS. Без HSTS злоумышленник в той же сети может перехватить первый запрос и перенаправить на фишинговый сайт.

HTTP/3

Шифрование защищает данные, но не влияет на скорость их доставки. За скорость отвечает версия протокола передачи данных. HTTP/3 — 3-я версия протокола, она работает поверх QUIC (UDP), а не TCP, как HTTP/1.1 и HTTP/2. Это устраняет блокировку очереди: в HTTP/2 потеря одного пакета задерживала все параллельные запросы, а в HTTP/3 — только один. HTTP/3 также поддерживает переключение между сетями (например, с Wi-Fi на мобильную) без разрыва соединения.

Зачем переходить на HTTPS

HTTPS влияет на безопасность, доверие пользователей и позиции в поиске.

— Конфиденциальность и целостность данных. Шифрование гарантирует, что информация останется приватной и не может быть изменена при передаче. Это защищает от кражи сессий, перехвата паролей и подмены контента;

— аутентификация и доверие. Сертификат подтверждает, что пользователь подключен к настоящему сайту компании, а не к фишинговой копии. В браузере это отображается значком «замок»;

— SEO-ранжирование. Поисковые системы учитывают наличие HTTPS как положительный сигнал. Безопасные сайты имеют преимущество в выдаче перед HTTP-сайтами;

— современные функции. Некоторые API браузера (геолокация, Push-уведомления, работа с микрофоном) доступны только для HTTPS-сайтов;

— соответствие требованиям. HTTPS обязателен для соблюдения регуляторных норм и стандарта PCI DSS для сайтов, обрабатывающих платежи.

Частые вопросы