Hur fungerar TLS/HTTPS?

Question

IT Interview Practice · Accepted Answer

**HTTPS är bara HTTP som körs inuti en TLS-krypterad kanal.** TLS (Transport Layer Security) ger dig tre garantier: **confidentiality** (trafiken är krypterad), **integrity** (den kan inte manipuleras oupptäckt) och **authentication** (du pratar verkligen med den server som anges i certifikatet). Det förhandlas fram i en **handshake** innan någon HTTP skickas:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Det smarta är att kombinera två sorters kryptografi. **Asymmetrisk** kryptografi (certifikatets publika/privata nyckelpar) används bara kortvarigt för att *autentisera servern och säkert komma överens om en delad hemlighet*. Den delade hemligheten agerar sedan nyckel för snabb **symmetrisk** kryptering (som AES) för merparten av datan — eftersom asymmetrisk kryptografi är alldeles för långsam för varje byte.

**Authentication** vilar på certifikatkedjan: serverns certifikat är signerat av en **Certificate Authority (CA)**, och ditt OS/din webbläsare levereras med en lista över betrodda CA:er. Om kedjan är giltig och namnet stämmer etableras förtroende; om inte (utgånget, självsignerat, fel host) visar webbläsaren en varning. Moderna **TLS 1.3** strömlinjeformar allt detta till en enda round trip (0-RTT vid återupptagning) och slopar äldre, osäkra ciphers.

## Varför det är viktigt

TLS ligger till grund för i princip all webbtrafik, så att förstå det är ett grundkrav för varje backend-, säkerhets- eller infrastrukturroll. Intervjuare använder det för att testa om du greppar den **hybrida kryptomodellen** — asymmetriskt för att etablera förtroende och en delad nyckel, symmetriskt för hastighet — vilket är ett mönster som återkommer genom säkerhetssystem. Det är också intensivt praktiskt: utgångna certifikat, obetrodda kedjor och missmatchningar av protokoll/cipher är vanliga produktionsincidenter, och att veta hur handskakningen och certifikatvalideringen fungerar är vad som låter dig diagnostisera dem snabbt (t.ex. med `curl -v` eller `openssl s_client`).

Varför det är viktigt

Relaterade frågor