是否借助ai

HTTPS、TLS、CA证书与抓包原理学习笔记#

1. 整体关系#

互联网安全通信涉及几个核心概念：

1
HTTPS
2
 |
3
 | 使用
4
 ↓
5
TLS
6
 |
7
 | 使用密码算法
8
 |
9
 +---- 非对称密码（RSA/ECC）
10
 |
11
 +---- 密钥交换（ECDHE）
12
 |
13
 +---- 对称加密（AES）
14
 |
15
 +---- 哈希/认证算法
16

17
同时：
18
CA证书负责身份认证

简单理解：

HTTPS：HTTP + TLS
TLS：负责建立安全通信的协议
CA：负责证明“这个公钥属于谁”
RSA/ECC：生成密钥、签名等密码学能力
AES：真正加密大量通信数据

2. SSL 和 TLS 的关系#

SSL#

全称：

Secure Sockets Layer（安全套接层）

最早由 Netscape 提出。

版本：

1
SSL 1.0
2
SSL 2.0
3
SSL 3.0

TLS#

全称：

Transport Layer Security（传输层安全协议）

TLS 是 SSL 的后继版本。

发展：

1
SSL 3.0
2
   ↓
3
TLS 1.0
4
   ↓
5
TLS 1.1
6
   ↓
7
TLS 1.2
8
   ↓
9
TLS 1.3

现在实际使用：

1
TLS

但是很多地方仍然习惯叫：

SSL证书
SSL配置
SSL加密

实际大部分指 TLS。

3. TLS解决什么问题？#

TLS主要解决三个问题：

3.1 保密性#

防止别人看到通信内容。

例如：

HTTP：

1
password=123456

抓包可以看到。

TLS：

1
x83hd92jd82

无法理解。

3.2 身份认证#

确认：

我连接的是正确服务器，不是假服务器。

例如：

访问：

1
https://www.baidu.com

需要确认：

1
这真的是百度吗？

靠：

1
CA证书
2
+
3
数字签名

3.3 数据完整性#

防止通信内容被修改。

例如：

原数据：

1
money=100

被修改：

1
money=10000

TLS可以检测。

4. 公钥和私钥不是RSA专属#

常见误解：

RSA才有公钥和私钥。

正确：

非对称密码算法都有公钥和私钥，RSA只是其中一种实现。

关系：

1
非对称密码算法
2

3
    |
4
    +--- RSA
5
    |
6
    +--- ECC
7
    |
8
    +--- ECDSA
9

10
          ↓
11

12
生成密钥对
13

14
      公钥
15
      私钥

5. RSA是什么？#

RSA是一种非对称密码算法。

它生成：

1
公钥 Public Key
2
私钥 Private Key

特点：

1
公钥加密
2
私钥解密
3

4

5
私钥签名
6
公钥验证

6. CA是什么？#

CA：

全称：

Certificate Authority（证书颁发机构）

作用：

证明某个公钥属于某个实体。

例如：

服务器：

1
www.baidu.com

拥有：

1
百度公钥
2
百度私钥

但是客户端不知道：

1
这个公钥是不是百度的？

所以需要 CA 证明。

7. CA证书里面有什么？#

重点：

CA证书包含：#

1
CA名称
2
CA公钥
3
有效期
4
CA签名
5
其他信息

不包含：

1
CA私钥 ❌

原因：

证书需要公开。

所有浏览器和操作系统都保存：

1
根CA证书

里面包含：

1
CA公钥

用于验证签名。

8. CA为什么有公钥和私钥？#

因为 CA 需要进行数字签名。

CA拥有：

1
CA私钥 🔴
2
CA公钥 🟢

签发证书：

例如百度申请证书：

步骤：

第一步#

百度生成：

1
百度公钥
2
百度私钥

保存：

1
百度私钥

提交：

1
百度公钥
2
+
3
域名

给CA。

第二步#

CA签名：

1
计算：
2

3
hash(域名 + 百度公钥)
4

5

6
↓
7

8
CA私钥签名
9

10

11
↓
12

13
生成百度证书

最终：

百度证书：

1
域名
2
百度公钥
3
CA签名

第三步#

浏览器验证：

1
百度证书
2

3
↓
4

5
找到CA公钥
6

7
↓
8

9
验证CA签名
10

11
↓
12

13
确认百度公钥可信

9. CA私钥为什么不能泄露？#

准确说：

不能泄露的是 CA 私钥，不是 CA证书。

CA私钥作用：

1
签发证书

如果泄露：

攻击者可以：

1
拿CA私钥
2

3
↓
4

5
生成：
6

7
bank.com证书
8
openai.com证书
9
google.com证书
10

11
↓
12

13
浏览器认为可信

后果：

攻击者可以伪造任何网站身份。

10. 抓包工具为什么需要安装CA？#

例如：

Charles
Fiddler
Burp Suite
mitmproxy

它们实现：

HTTPS中间人代理（MITM）。

正常：

1
客户端
2
  |
3
 TLS
4
  |
5
服务器

抓包：

1
客户端
2

3
  |
4
 TLS
5

6
抓包工具
7

8
  |
9
 TLS
10

11
服务器

问题：

客户端收到的是：

1
api.xxx.com证书

但是实际上：

抓包工具生成：

1
api.xxx.com假证书

签发者：

1
抓包工具CA

如果没有安装：

1
抓包工具CA

客户端：

1
不信任
2
连接失败

安装后：

系统信任：

1
抓包工具CA

验证：

1
api.xxx.com证书
2

3
↓
4

5
抓包工具CA
6

7
↓
8

9
可信

于是抓包工具可以解密HTTPS。

11. 为什么安装CA有风险？#

因为：

安装根CA = 增加信任来源。

例如：

默认：

1
信任：
2

3
DigiCert
4
Let's Encrypt
5
GlobalSign

安装：

1
某代理软件CA

之后：

1
信任：
2

3
DigiCert
4
Let's Encrypt
5
GlobalSign
6
某代理软件

这个CA理论上可以签发：

1
bank.com证书
2
openai.com证书

你的系统会接受。

12. 公司内部服务为什么需要配置CA？#

不是所有内部服务都需要。

原因：

公司可能使用：

1
公司内部CA

例如：

1
Company Root CA
2

3
       |
4
       |
5
       ↓
6

7
payment.company.com证书

你的电脑收到：

1
payment.company.com证书

检查：

1
谁签发？
2

3
Company Root CA

但是：

电脑默认不知道：

1
Company Root CA

所以：

1
SSLHandshakeException

解决：

安装：

1
Company Root CA证书

让系统信任：

1
公司内部所有服务

13. CA和访问外网大模型的关系#

安装CA：

不能直接：

1
获得更强模型权限

CA只解决：

1
HTTPS信任问题

如果企业内网访问外部AI：

通常结构：

1
开发电脑
2

3
   |
4

5
企业代理 / AI Gateway
6

7
   |
8

9
外网大模型

代理可能需要：

1
安装企业CA

原因：

代理需要检查或转发HTTPS流量。

真正提供访问能力的是：

1
代理/网关/网络出口

不是CA。

14. TLS现代通信流程（简化）#

访问：

1
https://example.com

流程：

① 服务端发送证书#

包含：

1
域名
2
服务器公钥
3
CA签名

② 客户端验证#

检查：

1
CA是否可信
2
域名是否匹配
3
证书是否过期

③ 密钥交换#

现代TLS：

主要使用：

1
ECDHE

生成：

1
会话密钥

④ 加密通信#

大量数据：

使用：

1
AES
2
ChaCha20

15. 最终知识体系#

1
HTTPS
2
 |
3
TLS
4
 |
5
 +----------------+
6
 |                |
7
身份认证          数据加密
8
 |                |
9
CA证书            AES
10
 |
11
数字签名
12
 |
13
非对称密码
14
 |
15
 +------+
16
        |
17
       RSA/ECC

核心记忆：

TLS负责安全通信流程
CA负责证明身份
证书里面有公钥，没有私钥
CA私钥负责签发证书，绝不能泄露
RSA只是非对称算法的一种
抓包工具通过让用户信任它的CA，实现HTTPS中间人代理
安装CA不是获得权限，而是扩大信任范围