Πώς λειτουργεί το TLS/HTTPS;

Question

IT Interview Practice · Accepted Answer

**Το HTTPS είναι απλώς HTTP που τρέχει μέσα σε ένα κανάλι κρυπτογραφημένο με TLS.** Το TLS (Transport Layer Security) σου δίνει τρεις εγγυήσεις: **confidentiality** (η κίνηση είναι κρυπτογραφημένη), **integrity** (δεν μπορεί να παραποιηθεί χωρίς να γίνει αντιληπτό), και **authentication** (μιλάς πραγματικά με τον server που αναφέρεται στο certificate). Διαπραγματεύεται σε ένα **handshake** πριν σταλεί οποιοδήποτε HTTP:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Το έξυπνο κομμάτι είναι ο συνδυασμός δύο ειδών κρυπτογραφίας. Η **ασύμμετρη (asymmetric)** κρυπτογραφία (το ζεύγος public/private key του certificate) χρησιμοποιείται μόνο για λίγο ώστε να *επαληθεύσει τον server και να συμφωνήσει με ασφάλεια σε ένα κοινό μυστικό*. Αυτό το κοινό μυστικό στη συνέχεια κλειδώνει τη γρήγορη **συμμετρική (symmetric)** κρυπτογράφηση (όπως το AES) για τον κύριο όγκο των δεδομένων — επειδή η ασύμμετρη κρυπτογραφία είναι πολύ αργή για κάθε byte.

Το **authentication** στηρίζεται στην αλυσίδα του certificate: το certificate του server υπογράφεται από μια **Certificate Authority (CA)**, και το OS/browser σου έρχεται με μια λίστα έμπιστων CAs. Αν η αλυσίδα είναι έγκυρη και το όνομα ταιριάζει, εγκαθίσταται εμπιστοσύνη· αν όχι (ληγμένο, self-signed, λάθος host), ο browser εμφανίζει προειδοποίηση. Το σύγχρονο **TLS 1.3** απλοποιεί όλα αυτά σε ένα μόνο round trip (0-RTT στην επανάληψη) και εγκαταλείπει παλιά, μη ασφαλή ciphers.

## Γιατί έχει σημασία

Το TLS στηρίζει ουσιαστικά όλη την κίνηση του web, οπότε η κατανόησή του είναι το ελάχιστο εισιτήριο για κάθε ρόλο backend, security ή infrastructure. Οι συνεντευκτές το χρησιμοποιούν για να ελέγξουν αν κατανοείς το **μοντέλο υβριδικής κρυπτογραφίας** — ασύμμετρο για την εγκατάσταση εμπιστοσύνης και ενός κοινού key, συμμετρικό για ταχύτητα — που είναι ένα μοτίβο που επαναλαμβάνεται σε όλα τα συστήματα ασφαλείας. Είναι επίσης εξαιρετικά πρακτικό: ληγμένα certificates, μη έμπιστες αλυσίδες, και ασυμφωνίες protocol/cipher είναι συχνά περιστατικά production, και το να ξέρεις πώς λειτουργούν το handshake και το certificate validation είναι αυτό που σου επιτρέπει να τα διαγνώσεις γρήγορα (π.χ. με `curl -v` ή `openssl s_client`).

Γιατί έχει σημασία

Σχετικές ερωτήσεις