Jak działa TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**HTTPS to po prostu HTTP działające wewnątrz kanału zaszyfrowanego TLS.** TLS (Transport Layer Security) daje ci trzy gwarancje: **confidentiality** (ruch jest zaszyfrowany), **integrity** (nie da się go niezauważenie zmodyfikować) oraz **authentication** (naprawdę rozmawiasz z serwerem wskazanym w certyfikacie). Jest negocjowany w **handshake** przed wysłaniem jakiegokolwiek HTTP:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Sprytną częścią jest połączenie dwóch rodzajów kryptografii. Kryptografia **asymetryczna** (para kluczy publiczny/prywatny certyfikatu) jest używana tylko krótko, aby *uwierzytelnić serwer i bezpiecznie uzgodnić wspólny sekret*. Ten wspólny sekret służy potem jako klucz dla szybkiego szyfrowania **symetrycznego** (jak AES) dla większości danych — bo kryptografia asymetryczna jest o wiele za wolna na każdy bajt.

**Uwierzytelnianie** opiera się na łańcuchu certyfikatów: certyfikat serwera jest podpisany przez **Certificate Authority (CA)**, a twój OS/przeglądarka dostarczane są z listą zaufanych CA. Jeśli łańcuch jest ważny i nazwa się zgadza, zaufanie jest ustanowione; jeśli nie (wygasły, samopodpisany, zły host), przeglądarka pokazuje ostrzeżenie. Nowoczesny **TLS 1.3** upraszcza to wszystko do pojedynczej rundy tam i z powrotem (0-RTT przy wznowieniu) i porzuca stare, niebezpieczne szyfry.

## Dlaczego to ważne

TLS stanowi podstawę zasadniczo całego ruchu webowego, więc jego zrozumienie to warunek wstępny dla każdej roli backendowej, security lub infrastrukturalnej. Rekruterzy używają go, aby sprawdzić, czy chwytasz **hybrydowy model kryptograficzny** — asymetryczny do ustanowienia zaufania i wspólnego klucza, symetryczny dla szybkości — który jest wzorcem powracającym w systemach bezpieczeństwa. To także niezwykle praktyczne: wygasłe certyfikaty, niezaufane łańcuchy oraz niedopasowania protokołu/szyfru to częste incydenty produkcyjne, a wiedza o tym, jak działają handshake i walidacja certyfikatu, jest tym, co pozwala szybko je zdiagnozować (np. przez `curl -v` lub `openssl s_client`).

Dlaczego to ważne

Powiązane pytania