Hogyan működik a TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**A HTTPS egyszerűen HTTP, amely egy TLS-sel titkosított csatornán belül fut.** A TLS (Transport Layer Security) három garanciát ad: **confidentiality** (a forgalom titkosított), **integrity** (nem lehet észrevétlenül megváltoztatni) és **authentication** (valóban a certificate-ben megnevezett szerverrel beszélsz). Egy **handshake** során egyeztetik, mielőtt bármilyen HTTP-t elküldenének:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

A ravasz rész kétféle kriptográfia kombinálása. Az **asymmetric** kriptográfiát (a certificate publikus/privát kulcspárja) csak röviden használják arra, hogy *hitelesítsék a szervert és biztonságosan megegyezzenek egy közös titokban*. Ez a közös titok ezután a gyors **symmetric** titkosítás (mint az AES) kulcsát adja az adat nagy részéhez — mert az asymmetric kripto sokkal túl lassú minden egyes byte-hoz.

Az **authentication** a certificate-láncra támaszkodik: a szerver certificate-jét egy **Certificate Authority (CA)** írja alá, az OS-ed/böngésződ pedig a megbízható CA-k listájával érkezik. Ha a lánc érvényes és a név egyezik, a bizalom létrejön; ha nem (lejárt, self-signed, rossz host), a böngésző figyelmeztetést mutat. A modern **TLS 1.3** mindezt egyetlen round trip-re egyszerűsíti (0-RTT újracsatlakozáskor), és elhagyja az elavult, nem biztonságos cipher-eket.

## Miért fontos

A TLS lényegében az összes webes forgalom alapja, ezért megértése minimumkövetelmény bármely backend, security vagy infrastruktúra szerephez. Az interjúztatók azt tesztelik vele, felfogod-e a **hibrid kripto-modellt** — asymmetric a bizalom és egy közös kulcs megalapozásához, symmetric a sebességért —, ami egy biztonsági rendszereken átívelő, visszatérő minta. Rendkívül gyakorlati is: a lejárt certificate-ek, a nem megbízható láncok és a protokoll-/cipher-eltérések gyakori production incidensek, és annak ismerete, hogyan működik a handshake és a certificate-validáció, teszi lehetővé a gyors diagnózist (pl. `curl -v` vagy `openssl s_client` segítségével).

Miért fontos

Kapcsolódó kérdések