Hvordan fungerer TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**HTTPS er rett og slett HTTP som kjører inne i en TLS-kryptert kanal.** TLS (Transport Layer Security) gir deg tre garantier: **confidentiality** (trafikken er kryptert), **integrity** (den kan ikke tukles med uoppdaget) og **authentication** (du snakker virkelig med serveren som er navngitt i sertifikatet). Det forhandles i et **handshake** før noe HTTP sendes:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Det smarte er å kombinere to typer kryptografi. **Asymmetrisk** kryptografi (sertifikatets offentlige/private nøkkelpar) brukes bare kort for å *autentisere serveren og trygt bli enige om en delt hemmelighet*. Den delte hemmeligheten gir så nøkkel til rask **symmetrisk** kryptering (som AES) for hoveddelen av dataene — fordi asymmetrisk kryptografi er altfor treg for hver byte.

**Authentication** hviler på sertifikatkjeden: serverens sertifikat er signert av en **Certificate Authority (CA)**, og OS-et/nettleseren din leveres med en liste over betrodde CA-er. Hvis kjeden er gyldig og navnet stemmer, etableres tillit; hvis ikke (utløpt, selvsignert, feil host), viser nettleseren en advarsel. Moderne **TLS 1.3** strømlinjeformer alt dette til én enkelt round trip (0-RTT ved gjenopptakelse) og dropper gamle, usikre ciphers.

## Hvorfor det er viktig

TLS ligger til grunn for praktisk talt all webtrafikk, så å forstå det er et minstekrav for enhver backend-, security- eller infrastrukturrolle. Intervjuere bruker det til å teste om du fatter den **hybride kryptomodellen** — asymmetrisk for å etablere tillit og en delt nøkkel, symmetrisk for hastighet — et mønster som gjentar seg på tvers av sikkerhetssystemer. Det er også svært praktisk: utløpte sertifikater, ubetrodde kjeder og protokoll-/cipher-uoverensstemmelser er vanlige produksjonshendelser, og å vite hvordan handshaket og sertifikatvalidering fungerer er det som lar deg diagnostisere dem raskt (f.eks. med `curl -v` eller `openssl s_client`).

Hvorfor det er viktig

Relaterte spørsmål