|
作者 寒食君i 如需轉(zhuǎn)載，請聯(lián)系原作者。 高中往往是青少年最渴望戀愛的時期，即使在高考的重壓之下，情竇初開的同學(xué)們，用著自己的方式傳達(dá)著自己對異性（或同性）的好感。 由于手機(jī)等通訊工具在學(xué)校中是被列為第一大禁品，那時的小情侶們往往通過傳紙條、交換日記的方式在罅隙間私語。相較于冰冷的屏幕，這些存在于紙上殘留著溫度的油墨文字，反而更讓人感受身心的熨帖。 在這種原始的通信方式中，所有的信息都是明文公開的，這非常的不安全，對于熱戀中的情侶來說，竊竊私語，是屬于兩人獨家的記憶，而這是萬萬不可讓第三者監(jiān)聽或偷窺了去的。 在最初，字節(jié)高中里情侶傳紙條使用的是一種名為http1.0的協(xié)議，這還是1996年的學(xué)長們制定的一種規(guī)范。 這套規(guī)則雖然滿足了校園中情侶們?nèi)粘５募垪l傳遞需求，但是有著非常明顯的缺點。因為http是無狀態(tài)的，傳遞每張紙條都要重新建立起tcp連接，這十分消耗時間，也考驗著同學(xué)們的耐心，一個課間十分鐘，往往還沒傳幾張紙條就上課了，非常低效。 半年后，在1997年，學(xué)長們終于忍受不了這種折磨了，于是對http1.0進(jìn)行完善。 首先http1.1設(shè)計了一種長連接（persistent connection），在一次通信中，可以保持tcp連接不斷開，這樣就為多次傳遞紙條提供了一個穩(wěn)定的通道。此外，在這個tcp通道里，學(xué)長可以向?qū)W姐發(fā)出多張紙條，而不用像以前那樣只能發(fā)一張收一張了。更加激動人心的是，以前只能在紙條上寫文字，現(xiàn)在可以附上照片、視頻等內(nèi)容，這簡直是情侶們的一大福音。 就這樣過去了十多年，同學(xué)們一直將就著使用這種通信方式。而到了2015年，字節(jié)高中里一位學(xué)長決定要創(chuàng)新與推動協(xié)議的發(fā)展，為了讓同學(xué)們能夠更愉快和高效地傳紙條，他發(fā)布了http2。 在這個新版本中，他實現(xiàn)了“多工”的方式，即雙方可以同時實時地向?qū)Ψ桨l(fā)送紙條，不需要像以前那樣一一對應(yīng)了。 比如學(xué)姐現(xiàn)在收到了兩張紙條，一張是“你中午吃了什么？”，第二張是“周末準(zhǔn)備去哪玩？”她想詳細(xì)地規(guī)劃一下周末去哪玩（耗時任務(wù)），但又不想讓對方久等，于是她現(xiàn)在可以先簡短回復(fù)第二張紙條——“周末我想去電影院，然后和你一起刷公眾號「字節(jié)流」”。然后完全回復(fù)第一張紙條——“中午吃的食堂，難吃死了?！苯酉聛硭梢月龢?gòu)思周末想看哪部電影，看完電影再去哪個書店，然后再發(fā)送對第二張紙條的完整回復(fù)。同時，http2將所有的信息格式都定義為二進(jìn)制，為了將來能直接發(fā)送更高級的應(yīng)用而方便解碼。 可是好景不長。 字節(jié)中學(xué)原本是所正德厚學(xué)的高中，但是近年來學(xué)校里的不良少年竟?jié)u漸多了起來。 他們有時偷竊紙條，將其篡改再發(fā)送，引起情侶間的矛盾；有時監(jiān)聽情侶間的對話，然后將其報告給教導(dǎo)主任或匿名張貼在校門口，還有的，利用紙條上有價值的信息大發(fā)橫財，賺的盆滿缽滿。一時間，校園內(nèi)風(fēng)聲鶴唳，草木皆兵。同學(xué)們都不再敢使用http來傳紙條了。 由于http是明文傳輸，這確實很容易讓不良少年（中間人）截獲，那么，怎么才能有效地對信息進(jìn)行加密呢？ 一般來說，加密有兩種方式，對稱加密與非對稱加密。首先簡單介紹下這兩種加密方式：
小黃和小棕是校園中一對令人艷羨的情侶，現(xiàn)在他們準(zhǔn)備親身開創(chuàng)并嘗試一種新的傳紙條方式，以此來造福大家，也為了打擊學(xué)校里的不良少年。 首先，他們是這么設(shè)想的： 點擊顯示大圖 看上去是可行的，但其實too young，不良少年只要截獲KEY，發(fā)送偽造的KEY，那么之后的所有消息都將被監(jiān)聽。 點擊顯示大圖 問題的核心在于，直接傳輸密鑰是不安全的，需要對密鑰進(jìn)行加密。我們的目的是：即使中間人截獲了密鑰，也無法對密鑰解密。 那么，如何對密鑰進(jìn)行加密？ 如果使用對稱加密來加密密鑰，那么密鑰的密鑰在傳輸過程中仍然是不安全的，需要再對密鑰的密鑰加密。這將無限疊加，最終仍是不安全的，而且顯然不合理。 如果使用非對稱加密，首先服務(wù)器生成一對公鑰和私鑰，將公鑰發(fā)送出去；對方收到公鑰后，本地使用對稱加密生成一個密鑰KEY，然后使用公鑰加密這個密鑰KEY，發(fā)送；服務(wù)器收到公鑰加密的數(shù)據(jù)后，使用私鑰解密，得到KEY。這時，雙方可以使用KEY來加密數(shù)據(jù)，開始安全地交流。（即使中間人截獲了公鑰加密的數(shù)據(jù)，但是由于沒有私鑰（私鑰只有簽發(fā)公鑰的服務(wù)器保管，不會用于傳輸）所以無法解密出KEY。） 設(shè)想圖如下： 點擊顯示大圖 看上去是可行的，但其實還是too simple。假如小棕（服務(wù)器）在傳輸公鑰給小黃（客戶端）時，公鑰被截獲，小黑（中間人）自己生成一對公鑰私鑰，并將偽造的公鑰傳到小黃，這樣一來，又被完全監(jiān)聽了。 點擊顯示大圖 此時，產(chǎn)生了這種情況：客戶端使用的是KEY1，服務(wù)器使用的是中間人偽造的KEY2，而中間人擁有KEY1，KEY2。所以中間人可以無限篡改數(shù)據(jù)。 小黃和小棕又陷入了沉思，雖然新的方案解決了密鑰被截獲的問題，但是產(chǎn)生了新的難點，現(xiàn)在的問題域縮小為：如何加密并安全傳輸公鑰？ 如果只是給公鑰再對稱加密或非對稱加密的話，必定還是會衍生出雞生蛋，蛋生雞的問題。這該怎么辦呢？此時，需要一個權(quán)威機(jī)構(gòu)來主持大局。于是同學(xué)們決定推選德高望重的學(xué)生會主席小季(CA)來擔(dān)此重任。 小季是這樣來操作的： 首先，每個同學(xué)在入學(xué)的時候，都會收到由學(xué)生會頒發(fā)的公鑰A，而這個公鑰A是絕對可信任的。以后，哪個同學(xué)談戀愛了，需要串小紙條了，就到學(xué)生會小季處申請證書，證書將用于對你的公鑰B進(jìn)行加密，然后你將你的公鑰B加密后傳輸給你的對象，因為他/她在開學(xué)之初已經(jīng)收到了CA的頒發(fā)的公鑰A，只要用這個公鑰A來解密數(shù)據(jù)，若能解開，便能取出你的公鑰B。 流程如下： 點擊顯示大圖 此時還有一個問題，因為不良少年也是學(xué)校里的學(xué)生，圖一中可以看到，小季給不良少年也頒發(fā)了CA公鑰，不良少年也是可以去向小季申請證書的。若不良少年截獲服務(wù)器發(fā)送的證書，改成自己的，那豈不是又出現(xiàn)了不安全的問題？如下圖：
點擊顯示大圖 可以發(fā)現(xiàn)有可能出現(xiàn)兩個問題：
但這兩個問題其實不會出現(xiàn)，小季早就考慮過這個問題，在證書的設(shè)計之初就解決了。其中引入了“數(shù)字簽名”的概念。
到此為止，我們已經(jīng)完全解決了中間人的問題，不良少年再也無法利用信息傳輸中的空子了。 而https（http over Secure Socket Layer）即在SSL之上的http，正是使用了這種方式來保證傳輸?shù)陌踩?/p> 小黑不甘心，想要找到新的解決方法，小季告訴他，編程世界中或許有你想要的答案，可以關(guān)注一下「字節(jié)流」這個公眾號，里面的同學(xué)個個都是人才，說話又好聽。 于是小黑和他的中間人朋友們開始潛心學(xué)習(xí)，字節(jié)高中又恢復(fù)了往日正德厚學(xué)的氛圍。 - The End - |
|
|
