HTTP与HTTPS的区别

总的来说，http效率更高，https安全性更高。

1、什么是HTTP(Hypertext Transfer Protocal )

超文本传输协议是一种详细规定了浏览器和万维网服务器之间互相通信的规则，
通过因特网传送万维网文档的数据传送协议。
超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息，

HTTP协议以明文方式发送内容，不提供任何方式的数据加密，

如果攻击者截取了Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，

因此，HTTP协议不适合传输一些敏感信息，比如：信用卡号、密码等支付信息。

HTTP是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准(TCP)，

用于从WWW服务器传输超文本到本地浏览器的传输协议，他可以使浏览器更加高效，使网络传输减少。

HTTP是采用明文形式进行数据传输，极易被不法份子窃取和篡改。

2、什么是HTTPS(Hypertext Transfer Protocal over Secure Socket Layer)

HTTPS(Secure Hypertext Transfer Protocol)安全超文本传输协议 ，
它是一个安全通信通道，它基于HTTP开发，用于在客户计算机和服务器之间交换信息。
它使用安全套接字层(SSL)进行信息交换，简单来说它是HTTP的安全版。 
它是由Netscape开发并内置于其浏览器中，用于对数据进行压缩和解压操作，并返回网络上传送回的结果。
HTTPS实际上应用了Netscape的安 全全套接字层(SSL)作为HTTP应用层的子层。
(HTTPS使用端口443，而不是象HTTP那样使用端口80来和TCP/IP进行通信。)
SSL使 用40 位关键字作为RC4流加密算法，这对于商业信息的加密是合适的。
HTTPS和SSL支持使用X.509数字认证，如果需要的话用户可以确认发送者是谁。

HTTPS (基于安全套接字层的超文本传输协议 或者是 HTTP over SSL) 是一个 Netscape 开发的 Web 协议。
也可以说：HTTPS = HTTP + SSL

HTTPS是以安全为目标的HTTP通道，简单讲是HTTP的安全版本。

即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。

为什么需要 HTTPS ？

超文本传输协议 (HTTP) 是一个用来通过互联网传输和接收信息的协议。
HTTP 使用请求/响应的过程，因此信息可在服务器间快速、轻松而且精确的进行传输。
当你访问 Web 页面的时候你就是在使用 HTTP 协议，但 HTTP 是不安全的，
可以轻松对窃听你跟 Web 服务器之间的数据传输。
在很多情况下，客户和服务器之间传输的是敏感歇息，需要防止未经授权的访问。
为了满足这个要求，网景公司(Netscape)推出了HTTPS，也就是基于安全套接字层的 HTTP 协议。

HTTPS是在HTTP上建立SSL加密层，并对传输数据进行加密，是HTTP协议的安全版。HTTPS主要作用是：

（1）对数据进行加密，并建立一个信息安全通道，来保证传输过程中的数据安全;

（2）对网站服务器进行真实身份认证。

3、HTTP与HTTPS的区别

    HTTP与HTTPS相同之处：

大多数情况下，HTTP与HTTPS是相同的，因为采用同一个基础的协议，

作为HTTP与HTTPS客户端——浏览器，设立一个连接到Web服务器指定的端口。

当服务器接收到请求，他会返回一个状态码以及消息，这个回应可能是请求消息、或者指示某个错误发送的错误消息。

系统使用统一资源定位器URI模式，因此资源可以被唯一指定。

而HTTPS与HTTP唯一不同的只是一个协议头的说明，其他都是一样的。

    HTTP与HTTPS不同之处：

1、HTTPS是加密传输协议，HTTP是明文传输协议;

2、HTTPS 需要CA机构wosign的颁发的SSL证书，而HTTP无需证书

3、HTTPS比HTTP更加安全，对搜索引擎更友好，利于SEO,参考：

    （1）为保护用户隐私安全    ,谷歌优先索引HTTPS网页

    （2）百度开放收录https站点，https全网化势不可挡

4、 HTTPS标准端口443，HTTP标准端口80;

5、 在OSI 网络模型中，HTTPS基于传输层，HTTP基于应用层;

6、 HTTPS在浏览器显示绿色安全锁，HTTP没有显示;

7、HTTPS 的URL 以https:// 开头，而HTTP 的URL 以http:// 开头

8、HTTPS 对传输的数据进行加密，而HTTP 无法加密

HTTPS 如何工作?

使用 HTTPS 连接时，服务器要求有公钥和签名的证书。
当使用 https 连接，服务器响应初始连接，并提供它所支持的加密方法。
作为回应，客户端选择一个连接方法，并且客户端和服务器端交换证书验证彼此身份。
完成之后，在确保使用相同**的情况下传输加密信息，然后关闭连接。
为了提供 https 连接支持，服务器必须有一个公钥证书，该证书包含经过证书机构认证的**信息，
大部分证书都是通过第三方机构授权的，以保证证书是安全的。
换句话说，HTTPS 跟 HTTP 一样，只不过增加了 SSL。

HTTP 包含如下动作：

1、浏览器打开一个 TCP 连接
2、浏览器发送 HTTP 请求到服务器端
3、服务器发送 HTTP 回应信息到浏览器
4、TCP 连接关闭

SSL 包含如下动作：

1、验证服务器端
2、允许客户端和服务器端选择加密算法和密码，确保双方都支持
3、验证客户端(可选)
4、使用公钥加密技术来生成共享加密数据
5、创建一个加密的 SSL 连接
6、基于该 SSL 连接传递 HTTP 请求

什么时候该使用 HTTPS?

银行网站、支付网关、购物网站、登录页、电子邮件以及一些企业部门的网站应该使用 HTTPS，例如：

• PayPal: https://www.paypal.com
• Google AdSense: https://www.google.com/adsense/

如果某个网站要求你填写信用卡信息，首先你要检查该网页是否使用 https 加密连接，如果没有，那么请不要输入任何敏感信息如信用卡号。

多数浏览器在收到一个无效证书的时候都会显示警告信息，而一些老的浏览器会弹出对话框让用户选择是否继续浏览。新的浏览器一般在整个窗口显示横幅的警告信息，同时在地址栏上显示该网站的安全信息。如果网站中包含加密和非加密的混合内容，多数浏览器会提示警告信息。

HTTPS的优点

尽管HTTPS并非绝对安全，掌握根证书的机构、掌握加密算法的组织同样可以进行中间人形式的攻击，
但HTTPS仍是现行架构下最安全的解决方案，主要有以下几个好处：
　　（1）使用HTTPS协议可认证用户和服务器，确保数据发送到正确的客户机和服务器；
　　（2）HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全，
                可防止数据在传输过程中不被窃取、改变，确保数据的完整性。
　　（3）HTTPS是现行架构下最安全的解决方案，虽然不是绝对安全，但它大幅增加了中间人攻击的成本。
　　（4）谷歌曾在2014年8月份调整搜索引擎算法，并称“比起同等HTTP网站，采用HTTPS加密的网站在搜索结果中的排名将会更高”。

HTTPS的缺点

　　

虽然说HTTPS有很大的优势，但其相对来说，还是存在不足之处的：
　　（1）HTTPS协议握手阶段比较费时，会使页面的加载时间延长近50%，增加10%到20%的耗电；
　　（2）HTTPS连接缓存不如HTTP高效，会增加数据开销和功耗，甚至已有的安全措施也会因此而受到影响；
　　（3）SSL证书需要钱，功能越强大的证书费用越高，个人网站、小网站没有必要一般不会用。
　   （4）SSL证书通常需要绑定IP，不能在同一IP上绑定多个域名，IPv4资源不可能支撑这个消耗。
　　（5）HTTPS协议的加密范围也比较有限，在黑客攻击、拒绝服务攻击、服务器劫持等方面几乎起不到什么作用。
            最关键的，SSL证书的信用链体系并不安全，特别是在某些国家可以控制CA根证书的情况下，中间人攻击一样可行。

http切换到HTTPS

　　如果需要将网站从http切换到https到底该如何实现呢？

     这里需要将页面中所有的链接，例如js，css，图片等等链接都由http改为https。例如：http://www.baidu.com改为https://www.baidu.com

　　BTW，这里虽然将http切换为了https，还是建议保留http。所以我们在切换的时候可以做http和https的兼容，具体实现方式是，去掉页面链接中的http头部，这样可以自动匹配http头和https头。例如：将http://www.baidu.com改为//www.baidu.com。然后当用户从http的入口进入访问页面时，页面就是http，如果用户是从https的入口进入访问页面，页面即使https的。

客户端在使用HTTPS方式与Web服务器通信时有以下几个步骤，如图所示。

（1）客户使用https的URL访问Web服务器，要求与Web服务器建立SSL连接。

　　（2）Web服务器收到客户端请求后，会将网站的证书信息（证书中包含公钥）传送一份给客户端。

　　（3）客户端的浏览器与Web服务器开始协商SSL连接的安全等级，也就是信息加密的等级。

　　（4）客户端的浏览器根据双方同意的安全等级，建立会话**，然后利用网站的公钥将会话**加密，并传送给网站。

　　（5）Web服务器利用自己的私钥解密出会话**。

　　（6）Web服务器利用会话**加密与客户端之间的通信。

HTTPS和HTTP的区别：

https协议需要到ca申请证书，一般免费证书很少，需要交费。 http是超文本传输协议，信息是明文传输，https 则是具有安全性的ssl加密传输协议 http和https使用的是完全不同的连接方式用的端口也不一样,前者是80,后者是443。
http的连接很简单,是无状态的 HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议 要比http协议安全 HTTPS解决的问题：
1 . 信任主机的问题. 采用https 的server 必须从CA 申请一个用于证明服务器用途类型的证书. 改证书只有用于对应的server 的时候,客户度才信任次主机. 所以目前所有的银行系统网站,关键部分应用都是https 的. 客户通过信任该证书,从而信任了该主机. 其实这样做效率很低,但是银行更侧重安全. 这一点对我们没有任何意义,我们的server ,采用的证书不管自己issue 还是从公众的地方issue, 客户端都是自己人,所以我们也就肯定信任该server.
2 . 通讯过程中的数据的泄密和被窜改
一般意义上的https, 就是 server 有一个证书.
    a) 主要目的是保证server 就是他声称的server. 这个跟第一点一样.
    b) 服务端和客户端之间的所有通讯,都是加密的.

      i. 具体讲,是客户端产生一个对称的**,通过server 的证书来交换**. 一般意义上的握手过程.             

      ii. 加下来所有的信息往来就都是加密的. 第三方即使截获,也没有任何意义.因为他没有**. 当然窜改也就没有什么意义了.
            少许对客户端有要求的情况下,会要求客户端也必须有一个证书.
 a) 这里客户端证书,其实就类似表示个人信息的时候,除了用户名/密码, 还有一个CA 认证过的身份. 应为个人证书一般来说上别人无法模拟的,所有这样能够更深的确认自己的身份.
b) 目前少数个人银行的专业版是这种做法,具体证书可能是拿U盘作为一个备份的载体.像我用的交通银行的网上银行就是采取的这种方式。 HTTPS 一定是繁琐的. a) 本来简单的http协议,一个get一个response. 由于https 要还**和确认加密算法的需要.单握手就需要6/7 个往返. i. 任何应用中,过多的round trip 肯定影响性能. b) 接下来才是具体的http协议,每一次响应或者请求, 都要求客户端和服务端对会话的内容做加密/解密. i. 尽管对称加密/解密效率比较高,可是仍然要消耗过多的CPU,为此有专门的SSL 芯片. 如果CPU 信能比较低的话,肯定会降低性能,从而不能serve 更多的请求.

SSL的简介：

SSL是Netscape公司所提出的安全保密协议，在浏览器(如Internet Explorer、Netscape Navigator)和Web服务器(如Netscape的Netscape Enterprise Server、ColdFusion Server等等)之间构造安全通道来进行数据传输，SSL运行在TCP/IP层之上、应用层之下，为应用程序提供加密数据通道，它采用了RC4、MD5 以及RSA等加密算法，使用40 位的**，适用于商业信息的加密。同时，Netscape公司相应开发了HTTPS协议并内置于其浏览器中，HTTPS实际上就是SSL over HTTP，它使用默认端口443，而不是像HTTP那样使用端口80来和TCP/IP进行通信。HTTPS协议使用SSL在发送方把原始数据进行加密，然 后在接受方进行解密，加密和解密需要发送方和接受方通过交换共知的**来实现，因此，所传送的数据不容易被网络黑客截获和解密。 然而，加密和解密过程需要耗费系统大量的开销，严重降低机器的性能，相关测试数据表明使用HTTPS协议传输数据的工作效率只有使用HTTP协议传输的十 分之一。假如为了安全保密，将一个网站所有的Web应用都启用SSL技术来加密，并使用HTTPS协议进行传输，那么该网站的性能和效率将会大大降低，而 且没有这个必要，因为一般来说并不是所有数据都要求那么高的安全保密级别，所以，我们只需对那些涉及机密数据的交互处理使用HTTPS协议，这样就做到鱼与熊掌兼得。总之不需要用https 的地方,就尽量不要用。