Открыть сервис
Главная → Блог → Протокол HTTPS

Протокол HTTPS

Протокол HTTPS — это расширение протокола HTTP, предназначенное для обеспечения шифрования и аутентификации данных, передаваемых между веб-браузером пользователя и веб-сервером. HTTPS (HyperText Transfer Protocol Secure) работает поверх криптографических протоколов TLS (Transport Layer Security) или его предшественника SSL (Secure Sockets Layer), что гарантирует конфиденциальность, целостность и подлинность передаваемой информации. В отличие от незащищённого HTTP, HTTPS предотвращает перехват, подделку и подмену данных злоумышленниками, например, в публичных сетях Wi-Fi или при атаках типа «человек посередине» (Man-in-the-Middle). Протокол является стандартом де-факто для современных веб-сайтов, особенно тех, которые обрабатывают личные данные, пароли, платёжную информацию или другую конфиденциальную информацию.

История развития

Ранние этапы и SSL

Предшественником HTTPS был протокол SSL, разработанный компанией Netscape Communications в 1994 году. Первая версия SSL 1.0 не была опубликована из-за серьёзных уязвимостей. SSL 2.0, выпущенный в 1995 году, содержал множество недостатков, включая отсутствие защиты от подмены сообщений и слабую аутентификацию. В 1996 году появился SSL 3.0, который стал основой для последующих разработок и исправил большинство проблем предшественника. HTTPS начал активно внедряться в середине 1990-х годов для защиты страниц входа в системы, электронной почты и интернет-банкинга.

Переход на TLS

В 1999 году IETF (Internet Engineering Task Force) опубликовала стандарт TLS 1.0 (RFC 2246), который базировался на SSL 3.0, но был несовместим с ним. TLS 1.0 устранил ряд криптографических уязвимостей и добавил поддержку новых алгоритмов шифрования. Последующие версии — TLS 1.1 (2006 год, RFC 4346) и TLS 1.2 (2008 год, RFC 5246) — постепенно повышали безопасность, вводя защиту от атак типа BEAST и поддержку современных шифров, таких как AES-GCM. TLS 1.3, утверждённый в 2018 году (RFC 8446), стал значительным шагом вперёд: он сократил время установки соединения (до одного Round-Trip Time), упростил набор поддерживаемых шифров и удалил устаревшие и небезопасные алгоритмы.

Массовое внедрение HTTPS

Долгое время HTTPS использовался только для критически важных сервисов (банки, почта, соцсети). Однако в 2010-х годах началось массовое внедрение HTTPS на всех сайтах. Ключевую роль сыграли инициативы Google и Let’s Encrypt. В 2014 году Google объявил, что HTTPS является фактором ранжирования в поисковой выдаче. В 2016 году был запущен некоммерческий центр сертификации Let’s Encrypt, который начал бесплатно выдавать SSL/TLS-сертификаты, автоматизируя процесс их получения и продления. К 2020 году более 90% трафика в глобальной сети передавалось по HTTPS.

Принцип работы

Установление защищённого соединения (TLS Handshake)

Процесс установки HTTPS-соединения начинается с рукопожатия TLS (TLS Handshake). Последовательность шагов обычно включает:

  1. ClientHello: браузер отправляет серверу список поддерживаемых версий TLS, набор шифров (Cipher Suites) и случайное число.
  2. ServerHello: сервер выбирает подходящую версию TLS и шифр, отправляет свой сертификат (публичный ключ) и своё случайное число.
  3. Проверка сертификата: браузер проверяет сертификат сервера на подлинность (с помощью цепочки доверия до корневого центра сертификации), срок действия и соответствие домену. Если сертификат недействителен, браузер предупреждает пользователя.
  4. Генерация сессионного ключа: браузер генерирует предварительный секрет (Pre-Master Secret), шифрует его публичным ключом сервера и отправляет обратно. Сервер расшифровывает его своим закрытым ключом. Обе стороны на основе предварительного секрета и случайных чисел вычисляют общий сессионный ключ.
  5. Завершение рукопожатия: стороны обмениваются сообщениями, подтверждающими, что дальнейшая передача будет зашифрована сессионным ключом.

После рукопожатия все данные (заголовки HTTP, тело запроса, ответа) шифруются симметричным шифрованием с использованием сессионного ключа. Это обеспечивает конфиденциальность и целостность трафика.

Роль сертификатов

Сертификат X.509, используемый в HTTPS, содержит:

Браузеры и операционные системы имеют встроенный список доверенных корневых центров сертификации. Если сертификат подписан одним из них, он считается действительным. Самоподписанные сертификаты (не прошедшие проверку CA) вызывают предупреждения безопасности.

Классификация сертификатов

По уровню проверки (Validation Level)

  1. DV (Domain Validation) — проверка домена: самый простой и быстрый тип. CA подтверждает только право владения доменом (например, через email на адрес admin@domain или DNS-запись). Выдаётся автоматически. Подходит для большинства сайтов.
  2. OV (Organization Validation) — проверка организации: CA проверяет регистрационные данные компании (название, адрес, телефон) через публичные реестры. Сертификат отображает название организации в информации о сертификате.
  3. EV (Extended Validation) — расширенная проверка: наиболее строгий тип. CA проводит глубокую проверку юридического статуса, физического адреса и полномочий заявителя. Браузеры отображают зелёную строку или название организации в адресной строке. EV-сертификаты дороже и требуют больше времени на получение. В 2023 году Google и Apple объявили о постепенном отказе от визуального выделения EV-сертификатов, так как разница в безопасности между DV и EV для пользователя минимальна.

По количеству доменов

Применение и значение

Защита конфиденциальных данных

HTTPS обязателен для сайтов, где пользователи вводят пароли, номера кредитных карт, паспортные данные или любую другую личную информацию. Без HTTPS эти данные передаются в открытом виде и могут быть перехвачены злоумышленниками. Современные платёжные стандарты (PCI DSS) требуют использования HTTPS для обработки платежей.

Предотвращение атак «человек посередине»

В незащищённых сетях (например, в кафе, аэропортах, гостиницах) злоумышленник может развернуть поддельную точку доступа Wi-Fi и перехватывать HTTP-трафик. HTTPS шифрует данные, делая такую атаку невозможной без подмены сертификата (что требует компрометации CA или установки вредоносного корневого сертификата на устройство жертвы).

Доверие пользователей и SEO

Браузеры (Chrome, Firefox, Safari, Edge) маркируют HTTP-сайты как «Небезопасные», что снижает доверие посетителей. HTTPS является сигналом ранжирования для поисковых систем (Google, Яндекс). Сайты, работающие по HTTPS, имеют преимущество в выдаче перед HTTP-аналогами при прочих равных условиях.

Защита целостности контента

HTTPS предотвращает инъекции вредоносного кода (например, скриптов или рекламы) провайдерами, Wi-Fi-точками или прокси-серверами. Без HTTPS злоумышленник может изменить HTML-страницу, вставив фишинговую форму или вредоносный скрипт.

Критика и ограничения

Сложность и стоимость (исторически)

До появления Let’s Encrypt получение сертификата было платным и требовало ручного продления. Для небольших сайтов это создавало барьер. Сейчас бесплатные сертификаты (Let’s Encrypt, ZeroSSL, Cloudflare) доступны всем, и процесс автоматизирован.

Производительность

Шифрование и дешифрование трафика требуют вычислительных ресурсов сервера. Однако современные процессоры имеют аппаратную поддержку криптографических операций (AES-NI), а TLS 1.3 сокращает накладные расходы. Для большинства сайтов разница в скорости незаметна.

Проблемы с сертификатами

Проблемы с HTTP/2 и HTTP/3

HTTPS является обязательным условием для работы HTTP/2 (мультиплексирование запросов) и HTTP/3 (на базе QUIC). Однако HTTP/3 использует UDP, что может блокироваться некоторыми корпоративными файрволами.

Источники

BFOmetr — база данных и аналитика по компаниям России.

На главную BFOmetr →

Похожие материалы