TLS/HTTPS कैसे काम करता है?

Question

IT Interview Practice · Accepted Answer

**HTTPS बस एक TLS-encrypted channel के अंदर चलता हुआ HTTP है।** TLS (Transport Layer Security) आपको तीन गारंटियाँ देता है: **confidentiality** (traffic encrypted है), **integrity** (इसे बिना पता चले छेड़ा नहीं जा सकता), और **authentication** (आप वाक़ई उसी server से बात कर रहे हैं जिसका नाम certificate में है)। यह किसी भी HTTP के भेजे जाने से पहले एक **handshake** में तय होता है:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

चतुर हिस्सा दो तरह के crypto को जोड़ना है। **Asymmetric** cryptography (certificate की public/private key जोड़ी) केवल संक्षेप में *server को authenticate करने और सुरक्षित रूप से एक साझा secret पर सहमत होने* के लिए उपयोग होती है। वह साझा secret फिर अधिकांश data के लिए तेज़ **symmetric** encryption (जैसे AES) की key बनता है — क्योंकि asymmetric crypto हर byte के लिए बहुत धीमा है।

**Authentication** certificate chain पर निर्भर करता है: server का certificate एक **Certificate Authority (CA)** द्वारा signed होता है, और आपका OS/browser भरोसेमंद CAs की एक सूची के साथ आता है। अगर chain मान्य है और नाम मेल खाता है, तो भरोसा स्थापित होता है; अगर नहीं (समाप्त, self-signed, ग़लत host), तो browser एक चेतावनी दिखाता है। आधुनिक **TLS 1.3** इस सबको एक अकेले round trip में सुव्यवस्थित करता है (resumption पर 0-RTT) और पुराने, असुरक्षित ciphers हटा देता है।

## यह क्यों महत्वपूर्ण है

TLS मूलतः पूरे web traffic की नींव है, इसलिए इसे समझना किसी भी backend, security, या infrastructure भूमिका के लिए बुनियादी शर्त है। interviewers इसका उपयोग यह जाँचने को करते हैं कि क्या आप **hybrid crypto मॉडल** को समझते हैं — भरोसा और एक साझा key स्थापित करने के लिए asymmetric, गति के लिए symmetric — जो एक पैटर्न है जो security सिस्टमों में बार-बार आता है। यह अत्यंत व्यावहारिक भी है: समाप्त certificates, अविश्वसनीय chains, और protocol/cipher mismatches आम production घटनाएँ हैं, और यह जानना कि handshake तथा certificate validation कैसे काम करते हैं, वही है जो आपको उन्हें जल्दी निदान करने देता है (जैसे `curl -v` या `openssl s_client` से)।

यह क्यों महत्वपूर्ण है

संबंधित प्रश्न