TLS/HTTPS કેવી રીતે કામ કરે છે?

Question

IT Interview Practice · Accepted Answer

**HTTPS એ માત્ર TLS-encrypted channel ની અંદર ચાલતું HTTP છે.** TLS (Transport Layer Security) તમને ત્રણ ખાતરીઓ આપે છે: **confidentiality** (traffic encrypted છે), **integrity** (તેને શોધ્યા વગર tamper ન કરી શકાય), અને **authentication** (તમે ખરેખર certificate માં નામ આપેલા server સાથે વાત કરો છો). કોઈ HTTP મોકલાય તે પહેલાં તે એક **handshake** માં negotiate થાય છે:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

ચતુર ભાગ બે પ્રકારના crypto ને જોડવાનો છે. **Asymmetric** cryptography (certificate ની public/private key pair) નો ઉપયોગ માત્ર થોડા સમય માટે *server ને authenticate કરવા અને સલામત રીતે એક shared secret પર સંમત થવા* માટે થાય છે. એ shared secret પછી મોટા ભાગના data માટે ઝડપી **symmetric** encryption (જેમ કે AES) ને key પૂરી પાડે છે — કારણ કે asymmetric crypto દરેક byte માટે વાપરવા બહુ ધીમું છે.

**Authentication** certificate chain પર આધાર રાખે છે: server નું certificate એક **Certificate Authority (CA)** દ્વારા sign થયેલું છે, અને તમારું OS/browser trusted CAs ની યાદી સાથે આવે છે. જો chain માન્ય હોય અને નામ મેળ ખાય, તો trust સ્થપાય છે; જો નહીં (expired, self-signed, ખોટો host), તો browser ચેતવણી બતાવે છે. આધુનિક **TLS 1.3** આ બધું એક જ round trip માં streamline કરે છે (resumption પર 0-RTT) અને જૂના, અસુરક્ષિત ciphers ને છોડી દે છે.

## આ શા માટે મહત્વનું છે

TLS મૂળભૂત રીતે તમામ web traffic નો આધાર છે, તેથી તેને સમજવું કોઈપણ backend, security, કે infrastructure ભૂમિકા માટે table stakes છે. Interviewers તેને એ ચકાસવા વાપરે છે કે તમે **hybrid crypto model** સમજો છો કે નહીં — trust અને shared key સ્થાપવા asymmetric, speed માટે symmetric — જે એક pattern છે જે security systems માં વારંવાર આવે છે. તે અત્યંત વ્યાવહારિક પણ છે: expired certificates, untrusted chains, અને protocol/cipher mismatches એ સામાન્ય production ઘટનાઓ છે, અને handshake તથા certificate validation કેવી રીતે કામ કરે છે તે જાણવું એ છે જે તમને તેમને ઝડપથી diagnose કરવા દે છે (દા.ત. `curl -v` કે `openssl s_client` થી).

આ શા માટે મહત્વનું છે

સંબંધિત પ્રશ્નો