TLS/HTTPS ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ?

Question

IT Interview Practice · Accepted Answer

**HTTPS ਬਸ HTTP ਹੈ ਜੋ ਇੱਕ TLS-encrypted channel ਦੇ ਅੰਦਰ ਚੱਲ ਰਿਹਾ ਹੈ।** TLS (Transport Layer Security) ਤੁਹਾਨੂੰ ਤਿੰਨ ਗਾਰੰਟੀਆਂ ਦਿੰਦਾ ਹੈ: **confidentiality** (traffic encrypted ਹੈ), **integrity** (ਇਸ ਨਾਲ ਬਿਨਾਂ ਪਤਾ ਲੱਗੇ ਛੇੜਛਾੜ ਨਹੀਂ ਹੋ ਸਕਦੀ), ਅਤੇ **authentication** (ਤੁਸੀਂ ਸੱਚਮੁੱਚ ਉਸ server ਨਾਲ ਗੱਲ ਕਰ ਰਹੇ ਹੋ ਜਿਸਦਾ ਨਾਂ certificate ਵਿੱਚ ਹੈ)। ਇਹ ਕੋਈ ਵੀ HTTP ਭੇਜਣ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ **handshake** ਵਿੱਚ ਤੈਅ ਹੁੰਦਾ ਹੈ:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

ਚਲਾਕ ਹਿੱਸਾ ਦੋ ਕਿਸਮ ਦੀ crypto ਨੂੰ ਜੋੜਨਾ ਹੈ। **Asymmetric** cryptography (certificate ਦੀ public/private key jodi) ਸਿਰਫ਼ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ *server ਨੂੰ authenticate ਕਰਨ ਅਤੇ ਸੁਰੱਖਿਅਤ ਤਰੀਕੇ ਨਾਲ ਇੱਕ ਸਾਂਝਾ ਰਾਜ਼ ਤੈਅ ਕਰਨ* ਲਈ। ਉਹ ਸਾਂਝਾ ਰਾਜ਼ ਫਿਰ ਬਾਕੀ ਦੇ ਵੱਡੇ data ਲਈ ਤੇਜ਼ **symmetric** encryption (ਜਿਵੇਂ AES) ਨੂੰ key ਦਿੰਦਾ ਹੈ — ਕਿਉਂਕਿ asymmetric crypto ਹਰ byte ਲਈ ਬਹੁਤ ਹੌਲੀ ਹੈ।

**Authentication** certificate chain 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ: server ਦਾ certificate ਇੱਕ **Certificate Authority (CA)** ਦੁਆਰਾ ਸਾਈਨ ਕੀਤਾ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਡਾ OS/browser ਭਰੋਸੇਯੋਗ CA ਦੀ ਇੱਕ ਸੂਚੀ ਨਾਲ ਆਉਂਦਾ ਹੈ। ਜੇ chain ਵੈਧ ਹੈ ਅਤੇ ਨਾਂ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਤਾਂ ਭਰੋਸਾ ਸਥਾਪਿਤ ਹੋ ਜਾਂਦਾ ਹੈ; ਜੇ ਨਹੀਂ (ਮਿਆਦ ਮੁੱਕੀ, self-signed, ਗ਼ਲਤ host), ਤਾਂ browser ਚੇਤਾਵਨੀ ਦਿਖਾਉਂਦਾ ਹੈ। ਆਧੁਨਿਕ **TLS 1.3** ਇਹ ਸਭ ਨੂੰ ਇੱਕੋ round trip ਤੱਕ ਸੁਚਾਰੂ ਕਰ ਦਿੰਦਾ ਹੈ (resumption 'ਤੇ 0-RTT) ਅਤੇ ਪੁਰਾਣੇ, ਅਸੁਰੱਖਿਅਤ cipher ਹਟਾ ਦਿੰਦਾ ਹੈ।

## ਇਹ ਮਹੱਤਵਪੂਰਨ ਕਿਉਂ ਹੈ

TLS ਲਾਜ਼ਮੀ ਤੌਰ 'ਤੇ ਸਾਰੇ web traffic ਦਾ ਆਧਾਰ ਹੈ, ਇਸ ਲਈ ਇਸਨੂੰ ਸਮਝਣਾ ਕਿਸੇ ਵੀ backend, security, ਜਾਂ infrastructure ਭੂਮਿਕਾ ਲਈ ਲਾਜ਼ਮੀ ਹੈ। Interviewers ਇਸਨੂੰ ਇਹ ਪਰਖਣ ਲਈ ਵਰਤਦੇ ਹਨ ਕਿ ਤੁਸੀਂ **hybrid crypto ਮਾਡਲ** ਨੂੰ ਸਮਝਦੇ ਹੋ ਜਾਂ ਨਹੀਂ — ਭਰੋਸਾ ਅਤੇ ਇੱਕ ਸਾਂਝੀ key ਸਥਾਪਿਤ ਕਰਨ ਲਈ asymmetric, ਗਤੀ ਲਈ symmetric — ਇੱਕ pattern ਜੋ security systems ਵਿੱਚ ਵਾਰ-ਵਾਰ ਆਉਂਦਾ ਹੈ। ਇਹ ਬਹੁਤ ਵਿਹਾਰਕ ਵੀ ਹੈ: ਮਿਆਦ-ਮੁੱਕੇ certificate, ਗ਼ੈਰ-ਭਰੋਸੇਯੋਗ chain, ਅਤੇ protocol/cipher ਦੀ ਬੇਮੇਲਤਾ ਆਮ production ਘਟਨਾਵਾਂ ਹਨ, ਅਤੇ handshake ਅਤੇ certificate validation ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ ਇਹ ਜਾਣਨਾ ਹੀ ਤੁਹਾਨੂੰ ਉਹਨਾਂ ਨੂੰ ਤੇਜ਼ੀ ਨਾਲ diagnose ਕਰਨ ਦਿੰਦਾ ਹੈ (ਜਿਵੇਂ `curl -v` ਜਾਂ `openssl s_client` ਨਾਲ)।

ਇਹ ਮਹੱਤਵਪੂਰਨ ਕਿਉਂ ਹੈ

ਸੰਬੰਧਿਤ ਸਵਾਲ