TLS/HTTPS hufanyaje kazi?

Question

IT Interview Practice · Accepted Answer

**HTTPS ni HTTP tu inayoendesha ndani ya channel iliyofichwa kwa TLS.** TLS (Transport Layer Security) hukupa uhakikisho tatu: **confidentiality** (trafiki imefichwa), **integrity** (haiwezi kubadilishwa bila kugunduliwa), na **authentication** (kweli unaongea na server iliyotajwa kwenye certificate). Hujadiliwa kwenye **handshake** kabla ya HTTP yoyote kutumwa:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

Sehemu ya werevu ni kuchanganya aina mbili za crypto. Cryptography ya **asymmetric** (jozi ya public/private key ya certificate) hutumika kwa kifupi tu ku-*thibitisha server na kukubaliana kwa usalama siri inayoshirikiwa*. Siri hiyo inayoshirikiwa kisha hutoa key kwa **symmetric** encryption ya haraka (kama AES) kwa data nyingi — kwa sababu asymmetric crypto ni polepole mno kwa kila byte.

**Authentication** hutegemea mnyororo wa certificate: certificate ya server husainiwa na **Certificate Authority (CA)**, na OS/browser yako huja na orodha ya CAs za kuaminika. Ikiwa mnyororo ni halali na jina linalingana, uaminifu huanzishwa; kama sivyo (imeisha muda, self-signed, host isiyo sahihi), browser huonyesha onyo. **TLS 1.3** ya kisasa hurahisisha yote haya hadi round trip moja (0-RTT kwenye kuunganisha tena) na huondoa ciphers za urithi, zisizo salama.

## Kwa nini ni muhimu

TLS ni msingi wa karibu trafiki yote ya web, hivyo kuielewa ni sharti la msingi kwa jukumu lolote la backend, security, au miundombinu. Wahojiwa hulitumia kupima kama unafahamu **modeli ya hybrid crypto** — asymmetric kuanzisha uaminifu na key inayoshirikiwa, symmetric kwa kasi — ambayo ni mfumo unaojirudia katika mifumo ya usalama. Pia ni la kivitendo sana: certificates zilizoisha muda, minyororo isiyoaminika, na kutolingana kwa protocol/cipher ni matukio ya kawaida ya production, na kujua jinsi handshake na uthibitishaji wa certificate vinavyofanya kazi ndiko kunakokuruhusu kuyachunguza haraka (mfano kwa `curl -v` au `openssl s_client`).

Kwa nini ni muhimu

Maswali yanayohusiana