Как происходит ssl соединение

Когда нужно понять, как происходит ssl соединение, важно представить его не как одно действие, а как короткий обмен сообщениями между браузером и сервером. В результате стороны договариваются о способе шифрования, проверяют подлинность сервера и только потом передают данные в защищённом виде.

Что происходит до передачи данных

Сначала клиент отправляет запрос на соединение и сообщает, какие версии протокола и наборы шифров он поддерживает. Сервер отвечает своими параметрами и присылает сертификат, в котором указано, какому домену он принадлежит и каким центром выдан. На этом этапе как происходит ssl соединение можно описать как проверку доверия: браузер не просто принимает ответ, а сверяет цепочку сертификатов и срок действия.

Если сертификат недействителен, просрочен или не совпадает с доменом, защищённый канал не должен считаться надёжным. Пользователь обычно видит предупреждение, потому что дальше обмен ключами уже не имеет смысла: сервер не прошёл базовую проверку личности.

Как стороны договариваются о ключе

После проверки сертификата начинается обмен данными, из которых обе стороны получают общий секрет. В современных схемах клиент создаёт случайное значение и передаёт его так, чтобы посторонний не смог его прочитать. Сервер использует свой закрытый ключ для подтверждения подлинности и помогает вычислить общий сеансовый ключ, которым затем шифруется трафик. Именно так как происходит ssl соединение превращается из открытого обмена в защищённый канал.

• Браузер и сервер выбирают поддерживаемые алгоритмы;
• Сервер доказывает, что владеет закрытым ключом;
• Стороны получают общий сеансовый ключ;
• Весь дальнейший трафик шифруется симметрично.

Важно не путать сертификат и ключ шифрования. Сертификат подтверждает личность сервера, а сеансовый ключ нужен для быстрого шифрования обычных данных. Поэтому соединение состоит из двух разных частей: проверки и настройки канала.

Что происходит после рукопожатия

Когда общий ключ создан, начинается передача HTTP-запросов уже внутри шифрованного канала. Содержимое страницы, формы, куки и заголовки идут в зашифрованном виде, а на стороне сервера расшифровываются тем же сеансовым ключом. Для внешнего наблюдателя такой трафик выглядит как набор нечитаемых пакетов.

Если соединение рвётся, при новом подключении процесс повторяется. Это удобно: даже если кто-то перехватит старый трафик, без нового сеансового ключа его будет трудно использовать. В этом и состоит практический смысл защиты.

Как проверить, что соединение установлено правильно

Без специальных инструментов можно смотреть на несколько признаков. В адресной строке браузера должен отображаться защищённый режим, а сведения о сертификате — соответствовать домену сайта. При открытии страницы не должно быть предупреждений о недоверенном сертификате или ошибке имени.

Для более точной проверки обычно смотрят:

• Совпадает ли домен с именем в сертификате;
• Не истёк ли срок действия;
• Есть ли полная цепочка доверия до центра сертификации;
• Используются ли актуальные настройки шифрования на сервере.

Если сайт открывается по HTTPS без предупреждений, это ещё не означает идеальную конфигурацию, но показывает, что базовая схема отработала. Понимание того, как происходит ssl соединение, помогает отличать реальную защиту канала от формального наличия замка в браузере.