SSL证书是如何工作的？

SSL证书是如何工作的？

SSL证书通过SSL/TLS协议工作。它利用证书验证服务器身份，并通过非对称密码技术完成安全密钥协商，再使用对称加密保护实际数据传输，从而实现通信加密、身份认证和数据完整性保护。

SSL证书、HTTPS和TLS是什么关系？

在探讨工作原理前，有必要先厘清这几个常被混淆的概念。

SSL证书是由权威机构签发的数字证书，负责身份认证和安全密钥协商。

TLS协议是传输层安全协议，负责在不可信的网络中建立加密通信通道。

HTTPS则是HTTP协议与TLS协议的结合，即HTTP运行在TLS加密通道之上。

三者关系链路表现为：SSL证书支撑TLS建立安全连接，进而支撑HTTPS传输网页数据。

SSL证书工作的核心原理

SSL证书的核心工作主要依托于三大机制：

1.身份认证：通过数字签名和证书链，向浏览器证明当前访问的服务器确实是该域名合法的持有者。 2.密钥协商：利用现代密码学算法，在不安全的网络环境中安全地商定出一个双方共享的对称会话密钥。 3. 数据加密：握手完成后，全程采用高效的对称加密算法保护实际传输的网页、表单与密码数据。

SSL/TLS 完整握手过程

下面以通用握手流程说明SSL证书工作机制。现代浏览器主要采用TLS 1.3协议，实际密钥协商一般使用ECDHE算法，核心思想依然是身份验证、安全协商会话密钥与加密通信。

1. 客户端发起请求

浏览器向服务器发送一个请求，包含支持的最高TLS版本、密码套件列表以及一个随机数。

2. 服务器响应

服务器回应确认选定的TLS版本、加密套件，并提供另一个随机数。

3. 服务器发送 SSL 证书

服务器将包含公钥及CA数字签名的SSL证书发送给浏览器。

4. 浏览器验证证书

浏览器对收到的证书进行本地严格校验，确保来源可靠。

5. 协商会话密钥

浏览器和服务器通过TLS协议中的密钥交换算法协商生成共享密钥。这个过程不会直接传输最终加密密钥，即使攻击者监听通信过程，也无法计算出双方使用的会话密钥。

6. 开始 HTTPS 通信

握手完成，双方切换至对称加密模式，进入正常的加密网页数据传输。

浏览器怎么验证 SSL 证书？

当浏览器收到服务器发来的证书后，会通过以下步骤进行校验：

如果在此阶段出现异常，通常需要按照如何修复SSL证书错误？中的规范步骤进行排查与修复。

CDN 环境下 SSL 证书如何工作？

如果网站接入了CDN，工作机制会有所调整：

浏览器的TLS 握手对象变成了CDN边缘节点，由CDN节点代替源站出示证书并托管加密。

如果开启了HTTPS回源，CDN节点与源站之间会通过另一层加密通道传输数据。在实际部署中，怎么安装SSL证书？的配置细节会因是否开启CDN加速而有所差异。

为什么 HTTPS 不会拖慢网站？

在现代TLS 1.3协议和服务器硬件的加速下，初次握手仅需消耗十几毫秒的时间。一旦握手完成，后续传输全部采用高效率的对称加密算法，其CPU消耗微乎其微，不会对网站整体加载速度造成明显影响。

在现代Web环境中，通过非对称密码技术协商出的会话密钥与TLS 1.3握手优化，彻底解决了早期SSL加密带来的性能损耗问题，使得全站HTTPS成为兼顾安全与高性能的唯一可行方案。