Hoe werkt TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**HTTPS is gewoon HTTP dat binnen een TLS-versleuteld kanaal draait.** TLS (Transport Layer Security) geeft je drie garanties: **confidentiality** (verkeer is versleuteld), **integrity** (het kan niet onopgemerkt worden gemanipuleerd), en **authentication** (je praat echt met de server die in het certificaat staat). Het wordt onderhandeld in een **handshake** voordat er enige HTTP wordt verstuurd:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Het slimme deel is het combineren van twee soorten crypto. **Asymmetrische** cryptografie (het publieke/private sleutelpaar van het certificaat) wordt slechts kort gebruikt om *de server te authenticeren en veilig een gedeeld geheim af te spreken*. Dat gedeelde geheim vormt vervolgens de sleutel voor snelle **symmetrische** versleuteling (zoals AES) voor het gros van de data — omdat asymmetrische crypto veel te traag is voor elke byte.

**Authentication** steunt op de certificate chain: het certificaat van de server is gesigneerd door een **Certificate Authority (CA)**, en je OS/browser wordt geleverd met een lijst vertrouwde CA's. Als de keten geldig is en de naam matcht, wordt vertrouwen gevestigd; zo niet (verlopen, self-signed, verkeerde host), toont de browser een waarschuwing. Het moderne **TLS 1.3** stroomlijnt dit alles tot één round trip (0-RTT bij hervatting) en laat verouderde, onveilige ciphers vallen.

## Waarom het belangrijk is

TLS ligt ten grondslag aan vrijwel al het webverkeer, dus het begrijpen ervan is een basisvereiste voor elke backend-, security- of infrastructuurrol. Interviewers gebruiken het om te testen of je het **hybride crypto-model** vat — asymmetrisch om vertrouwen en een gedeelde sleutel te vestigen, symmetrisch voor snelheid — een patroon dat terugkeert door security-systemen heen. Het is ook uiterst praktisch: verlopen certificaten, niet-vertrouwde ketens, en protocol/cipher-mismatches zijn veelvoorkomende productie-incidenten, en weten hoe de handshake en certificaatvalidatie werken is wat je in staat stelt ze snel te diagnosticeren (bijv. met `curl -v` of `openssl s_client`).

Waarom het belangrijk is

Gerelateerde vragen