TLS/HTTPS कसरी काम गर्छ?

Question

IT Interview Practice · Accepted Answer

**HTTPS केवल TLS-encrypted channel भित्र चलिरहेको HTTP मात्र हो।** TLS (Transport Layer Security) ले तपाईंलाई तीन ग्यारेन्टी दिन्छ: **confidentiality** (traffic encrypt हुन्छ), **integrity** (यसलाई पत्ता नलागी छेडछाड गर्न सकिँदैन), र **authentication** (तपाईं साँच्चै certificate मा नामित server सँग कुरा गर्दै हुनुहुन्छ)। यो कुनै पनि HTTP पठाउनुअघि एउटा **handshake** मा negotiate हुन्छ:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

चतुर भाग दुई किसिमको crypto संयोजन गर्नु हो। **Asymmetric** cryptography (certificate को public/private key जोडी) केवल छोटो समयका लागि *server लाई authenticate गर्न र साझा गोपनीयतामा सुरक्षित रूपमा सहमत हुन* प्रयोग हुन्छ। त्यो साझा गोपनीयताले अनि अधिकांश डेटाका लागि छिटो **symmetric** encryption (जस्तै AES) लाई key दिन्छ — किनभने asymmetric crypto हरेक byte का लागि धेरै सुस्त छ।

**Authentication** certificate chain मा निर्भर हुन्छ: server को certificate एउटा **Certificate Authority (CA)** ले हस्ताक्षर गर्छ, र तपाईंको OS/browser विश्वसनीय CA हरूको सूचीसहित आउँछ। Chain मान्य र नाम मिले, विश्वास स्थापित हुन्छ; नमिले (म्याद सकिएको, self-signed, गलत host), browser ले चेतावनी देखाउँछ। आधुनिक **TLS 1.3** ले यी सबैलाई एउटै round trip (resumption मा 0-RTT) मा सरल बनाउँछ र पुराना, असुरक्षित cipher हटाउँछ।

## यो किन महत्त्वपूर्ण छ

TLS ले लगभग सम्पूर्ण web traffic लाई आधार दिन्छ, त्यसैले यसलाई बुझ्नु कुनै पनि backend, security, वा infrastructure भूमिकाका लागि न्यूनतम आवश्यकता हो। Interviewer ले यसलाई तपाईं **hybrid crypto मोडेल** बुझ्नुहुन्छ कि भनी जाँच्न प्रयोग गर्छन् — विश्वास र साझा key स्थापना गर्न asymmetric, गतिका लागि symmetric — जुन security सिस्टमहरूभर दोहोरिने ढाँचा हो। यो अत्यन्तै व्यावहारिक पनि छ: म्याद सकिएका certificate, अविश्वसनीय chain, र protocol/cipher बेमेल सामान्य production घटना हुन्, र handshake तथा certificate validation कसरी काम गर्छ भन्ने थाहा पाउनाले तपाईंलाई तिनलाई छिटो निदान गर्न दिन्छ (जस्तै `curl -v` वा `openssl s_client` ले)।

यो किन महत्त्वपूर्ण छ

सम्बन्धित प्रश्नहरू