Kako rade TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**HTTPS je samo HTTP koji radi unutar TLS-om enkriptiranog kanala.** TLS (Transport Layer Security) daje vam tri jamstva: **confidentiality** (promet je enkriptiran), **integrity** (ne može se neopaženo mijenjati) i **authentication** (stvarno razgovarate sa serverom navedenim u certifikatu). Pregovara se u **handshakeu** prije nego se pošalje ijedan HTTP:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Domišljat dio je kombiniranje dviju vrsta kriptografije. **Asimetrična** kriptografija (par javni/privatni ključ iz certifikata) koristi se samo nakratko da *autentificira server i sigurno dogovori dijeljenu tajnu*. Ta dijeljena tajna zatim služi kao ključ za brzu **simetričnu** enkripciju (poput AES-a) za glavninu podataka — jer je asimetrična kriptografija predaleko spora za svaki bajt.

**Authentication** se oslanja na lanac certifikata: certifikat servera potpisuje **Certificate Authority (CA)**, a vaš OS/preglednik dolazi s popisom pouzdanih CA-ova. Ako je lanac valjan i ime se podudara, uspostavlja se povjerenje; ako ne (istekao, samopotpisan, pogrešan host), preglednik prikazuje upozorenje. Moderni **TLS 1.3** pojednostavljuje sve to na jedan obilazak (0-RTT pri nastavku) i izbacuje zastarjele, nesigurne ciphere.

## Zašto je to važno

TLS je u temelju gotovo cjelokupnog web prometa, pa je njegovo razumijevanje osnovni uvjet za bilo koju backend, security ili infrastrukturnu ulogu. Ispitivači ga koriste da provjere shvaćate li **hibridni kriptografski model** — asimetrični za uspostavu povjerenja i dijeljenog ključa, simetrični za brzinu — obrazac koji se ponavlja kroz sigurnosne sustave. Također je izrazito praktičan: istekli certifikati, nepouzdani lanci i neusklađenost protokola/ciphera česti su produkcijski incidenti, a razumijevanje kako rade handshake i validacija certifikata ono je što vam omogućuje da ih brzo dijagnosticirate (npr. sa `curl -v` ili `openssl s_client`).

Zašto je to važno

Povezana pitanja