Si funksionon TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**HTTPS është thjesht HTTP që funksionon brenda një kanali të enkriptuar me TLS.** TLS (Transport Layer Security) të jep tri garanci: **confidentiality** (trafiku është i enkriptuar), **integrity** (nuk mund të manipulohet pa u zbuluar), dhe **authentication** (po flet vërtet me serverin e emërtuar në certifikatë). Negociohet në një **handshake** para se të dërgohet ndonjë HTTP:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Pjesa e zgjuar është kombinimi i dy llojeve kriptografie. Kriptografia **asymmetric** (çifti i çelësit public/private i certifikatës) përdoret vetëm shkurtimisht për të *autentikuar serverin dhe për të rënë dakord në mënyrë të sigurt për një sekret të përbashkët*. Ai sekret i përbashkët pastaj shërben si çelës për enkriptimin e shpejtë **symmetric** (si AES) për pjesën më të madhe të të dhënave — sepse kriptografia asymmetric është shumë e ngadaltë për çdo byte.

**Authentication** mbështetet te zinxhiri i certifikatave: certifikata e serverit është nënshkruar nga një **Certificate Authority (CA)**, dhe OS-i/browseri yt vjen me një listë CA-sh të besuar. Nëse zinxhiri është i vlefshëm dhe emri përputhet, besimi vendoset; nëse jo (e skaduar, self-signed, host i gabuar), browseri shfaq një paralajmërim. **TLS 1.3** modern e thjeshton gjithë këtë në një round trip të vetëm (0-RTT në rifillim) dhe heq cipher-at e vjetër, të pasigurt.

## Pse ka rëndësi

TLS mbështet thelbësisht të gjithë trafikun web, kështu që të kuptuarit e tij është kusht minimal për çdo rol backend, security ose infrastrukturë. Intervistuesit e përdorin për të testuar nëse e kap **modelin hibrid të kriptografisë** — asymmetric për të vendosur besimin dhe një çelës të përbashkët, symmetric për shpejtësi — që është një model që përsëritet nëpër sisteme sigurie. Është gjithashtu jashtëzakonisht praktike: certifikata të skaduara, zinxhirë të pabesuar, dhe mospërputhje protokolli/cipher janë incidente të zakonshme në production, dhe të dish si funksionojnë handshake-u dhe validimi i certifikatës është ajo që të lejon t'i diagnostikosh shpejt (p.sh. me `curl -v` ose `openssl s_client`).

Pse ka rëndësi

Pyetje të ngjashme