https跳过证书校验底层原理

原文: https://mojun.blog.csdn.net/article/details/103258620




背景

大家可能遇到过爬虫或者curl某个https站点,由于站点TLS证书过期或者使用自签证书,curl或者浏览器校验不通过,导致不能正常访问。 所以类似什么Java中怎么跳过https证书校验,php怎么跳过,python怎么跳过等等问题全网遍地都是。 但是你知道跳过https证书底层到底干了什么事情呢? https不懂的同学可以先简单看我的一篇文章: https加密和解密过程。网上太多人只讲通过校验后怎么样, 很少讲不校验证书怎么样,很是蛋疼,全网文章几乎没人提到。

疑问1: 困惑了我几天的问题, 一般来说正常的https通过校验的情况, 如访问https:/www.baidu.com为例。拿到证书, os内置或者浏览器内置根证书的public key,public key解密证书内容,拿到内容进行hash比较,域名校验等等,通过校验则拿到网站的公钥, 之后走ssl握手协议一系列操作之后, 协商出”会话密钥”进行后边的通信。 那么问题来了, 假设我访问自签证书的网站,使用curl -k(跳过证书合法性校验), 不校验证书正确性, 由于os/浏览器根本就没有这个自签证书的public key, 那肯定解密不出证书的数据, 例如server的公钥,那不是和正常流程又有区别了, 但是还是能访问的页面内容,这个就很奇怪。那么后面的通信又是怎么进行的呢? 是否还走加密通信方式? 以及server公钥从证书里拿不出来的问题。

个人总结

参考知乎 如果没有有效的证书,HTTPS连接是否加密的? 此人回答瞬间茅塞顿开。
在这里插入图片描述

对于上面的疑惑: 跳过https校验是否还走加密通信的方式? 底层实现,证书解不开,server端公钥拿不到又怎么解释?

  1. 肯定还是走TLS加密通信。 因为人家网站就是基于https的,肯定是加密的,这个不用质疑,不会存在说你跳过证书校验就不走加密了。
  2. TLS可以分为2个功能方面来理解,1是 ca证书身份认证,2是后面数据进行加密通信,保证在传输过程中不被篡改。 两个方面没有必然前置关系, 也就是ca证书校验是可以在客户端进行选择校验还是不校验,和下面第2步加密通信无关,校验就走校验规则,不校验也可以走第2个步骤继续加密通信。 只是说, 这时候由于证书解密解不出来,server的公钥拿不出来了, 那系统就不能走RSA非对称加密算法来传递”会话密钥”, TLS客户端会自动转化使用DH算法(个人理解:类似生成临时非对称加密秘钥对,是传递”会话密钥”),完成后面加密通信的过程。
  3. 使用自签TLS证书通信虽然是加密的,但是https身份认证的功能也就荡然无存了 。任何人都可以自签发证书,容易受到中间人攻击以及伪装。 中间人也自己签发证书,替换掉你的证书,客户端也察觉不到的。谁叫你自己不校验呢? 就像电话诈骗, 警察再三提醒你对法对方可能是骗子(不安全提示), 你还是傻不拉几地坚持汇款,那肯定是能汇款的啊,银行又不能阻止你汇款,但是后果自己承担。