TLS/HTTPS எவ்வாறு செயல்படுகிறது?

Question

IT Interview Practice · Accepted Answer

**HTTPS என்பது வெறுமனே ஒரு TLS-encrypted channel-க்குள் இயங்கும் HTTP தான்.** TLS (Transport Layer Security) உங்களுக்கு மூன்று உத்தரவாதங்களைத் தருகிறது: **confidentiality** (traffic encrypt செய்யப்படுகிறது), **integrity** (கண்டறியப்படாமல் திருத்த முடியாது), மற்றும் **authentication** (நீங்கள் உண்மையில் certificate-இல் பெயரிடப்பட்ட server உடன்தான் பேசுகிறீர்கள்). இது எந்த HTTP அனுப்பப்படுவதற்கு முன்பே ஒரு **handshake**-இல் பேச்சுவார்த்தை செய்யப்படுகிறது:

```text
Client                                   Server
  │──── ClientHello ──────────────────────▶│   (TLS versions, cipher suites, random)
  │◀─── ServerHello + Certificate ─────────│   (chosen cipher + cert with public key)
  │                                         │
  │  verify cert against a trusted CA       │
  │  agree on keys (e.g. ECDHE key exchange)│
  │                                         │
  │──── Finished (encrypted) ──────────────▶│
  │◀─── Finished (encrypted) ───────────────│
  │========= encrypted application data ====│   (now HTTP flows, encrypted)
```

புத்திசாலித்தனமான பகுதி இரண்டு வகையான crypto ஐ இணைப்பது. **Asymmetric** cryptography (certificate-இன் public/private key jodi) *server ஐ authenticate செய்து ஒரு பகிரப்பட்ட ரகசியத்தைப் பாதுகாப்பாக ஒப்புக்கொள்ள* மட்டுமே சுருக்கமாகப் பயன்படுத்தப்படுகிறது. அந்த பகிரப்பட்ட ரகசியம் பின்னர் data-இன் பெரும்பகுதிக்கு வேகமான **symmetric** encryption-க்கு (AES போன்றது) key ஆகிறது — ஏனெனில் asymmetric crypto ஒவ்வொரு byte-க்கும் மிகவும் மெதுவானது.

**Authentication** certificate chain ஐ நம்பியுள்ளது: server-இன் certificate ஒரு **Certificate Authority (CA)** ஆல் sign செய்யப்படுகிறது, மேலும் உங்கள் OS/browser நம்பகமான CA களின் பட்டியலுடன் வருகிறது. Chain சரியானதாகவும் பெயர் பொருந்தினாலும், நம்பிக்கை நிறுவப்படுகிறது; இல்லையென்றால் (காலாவதி, self-signed, தவறான host), browser ஒரு எச்சரிக்கையைக் காட்டுகிறது. நவீன **TLS 1.3** இவை அனைத்தையும் ஒரே round trip ஆக (resumption-இல் 0-RTT) சீரமைத்து, பழைய, பாதுகாப்பற்ற cipher களை நீக்குகிறது.

## இது ஏன் முக்கியம்

TLS அடிப்படையில் அனைத்து web traffic-க்கும் அடித்தளமாக உள்ளது, எனவே அதைப் புரிந்துகொள்வது எந்த backend, security, அல்லது infrastructure பணிக்கும் அடிப்படைத் தகுதி. **hybrid crypto model** ஐ நீங்கள் புரிந்துகொள்கிறீர்களா என்பதைச் சோதிக்க interviewer கள் அதைப் பயன்படுத்துகிறார்கள் — நம்பிக்கை மற்றும் ஒரு பகிரப்பட்ட key ஐ நிறுவ asymmetric, வேகத்திற்காக symmetric — இது security system கள் முழுவதும் மீண்டும் வரும் ஒரு pattern. இது தீவிரமாக நடைமுறைப் பயனுள்ளதும் கூட: காலாவதியான certificate கள், நம்பப்படாத chain கள், மற்றும் protocol/cipher பொருந்தாமை என்பவை பொதுவான production incident கள், மேலும் handshake மற்றும் certificate validation எவ்வாறு செயல்படுகின்றன என்பதை அறிவதுதான் அவற்றை வேகமாக (எ.கா. `curl -v` அல்லது `openssl s_client` உடன்) diagnose செய்ய உங்களை அனுமதிக்கிறது.

இது ஏன் முக்கியம்

தொடர்புடைய கேள்விகள்