TLS/HTTPS कसे कार्य करते?

Question

IT Interview Practice · Accepted Answer

**HTTPS म्हणजे फक्त TLS-encrypted channel च्या आत चालणारे HTTP.** TLS (Transport Layer Security) तुम्हाला तीन हमी देते: **confidentiality** (traffic encrypted असते), **integrity** (न कळता छेडछाड करता येत नाही), आणि **authentication** (तुम्ही खरोखर certificate मध्ये नमूद केलेल्या server शीच बोलत आहात). कोणतेही HTTP पाठवण्याआधी ते एका **handshake** मध्ये negotiate केले जाते:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

चतुर भाग म्हणजे दोन प्रकारच्या crypto चे संयोजन. **Asymmetric** cryptography (certificate ची public/private key जोडी) फक्त थोडक्यात वापरली जाते — *server ला authenticate करण्यासाठी आणि एक सामायिक secret सुरक्षितपणे ठरवण्यासाठी*. तो सामायिक secret मग बहुतांश data साठी वेगवान **symmetric** encryption (जसे AES) ला key पुरवतो — कारण asymmetric crypto प्रत्येक byte साठी फारच मंद आहे.

**Authentication** certificate chain वर अवलंबून असते: server चे certificate एका **Certificate Authority (CA)** ने signed केलेले असते, आणि तुमचा OS/browser विश्वासार्ह CAs च्या यादीसह येतो. chain वैध असेल व नाव जुळेल, तर विश्वास प्रस्थापित होतो; नसेल (कालबाह्य, self-signed, चुकीचा host), तर browser इशारा दाखवतो. आधुनिक **TLS 1.3** हे सर्व एका round trip मध्ये (resumption वर 0-RTT) सुव्यवस्थित करते आणि जुने, असुरक्षित ciphers काढून टाकते.

## हे का महत्त्वाचे आहे

TLS मूलतः सर्व web traffic चा पाया आहे, त्यामुळे ते समजणे कोणत्याही backend, security किंवा infrastructure भूमिकेसाठी किमान अपेक्षा आहे. Interviewers ते तपासण्यासाठी वापरतात की तुम्हाला **hybrid crypto model** समजते का — विश्वास व सामायिक key प्रस्थापित करण्यासाठी asymmetric, वेगासाठी symmetric — हा एक नमुना जो security systems मध्ये पुनःपुन्हा येतो. ते अत्यंत व्यावहारिकही आहे: कालबाह्य certificates, अविश्वासार्ह chains, आणि protocol/cipher जुळत नसणे या सामान्य production घटना आहेत, आणि handshake व certificate validation कसे कार्य करते हे जाणणेच तुम्हाला त्या जलद निदान करू देते (उदा. `curl -v` किंवा `openssl s_client` ने).

हे का महत्त्वाचे आहे

संबंधित प्रश्न