Пример. Запрос/ответ по http

Рассмотрим HTTP диалог между веб-браузером пользователя {строка идентификации Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9b5) Gecko/2008041514 Firefox/3.0b5} и веб-сервером хоста www.mail.ru.

Данные HTTP заголовков получены с помощью Firefox дополнения — Live HTTP Headers.

Запрос от пользователя по URL www.mail.ru:

GET / HTTP/1.1

Host: www.mail.ru

User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9b5) Gecko/2008041514 Firefox/3.0b5

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: en-us,en;q=0.5

Accept-Encoding: gzip,deflate

Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7

Keep-Alive: 300

Connection: keep-alive

Cookie: mrcu=498448140CF97175844CA88EBD5A; p=e2kCAMuv8gAA; Mpop=1209265607:7f5a7900564f4c72190502190a1d00051c07074f6a5d5e465e0f0c01051d000103184249664f5f115c565c5b1b4341:sp_wn@mail.ru:-; t=obLD1AAAAAAIAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABAAABAAAAAAAAAAAQAAEBngcA

Ответ сервера на запрос:

HTTP/1.x 200 OK

Date: Sun, 27 Apr 2008 08:53:46 GMT

Server: Apache/1.3.31 (Unix) mod_deflate/1.0.21 rus/PL30.20

Set-Cookie: Mpopl=1200751000; expires=Sun, 27 Apr 2008 09:08:46 GMT; path=/; domain=.mail.ru

Set-Cookie: mrcu=498448140CF97175844CA88EBD5A; expires=Tue, 12 Aug 2036 09:08:40 GMT; path=/; domain=.mail.ru

Expires: Mon, 26 Jul 1997 05:00:00 GMT

Cache-Control: no-cache, no-store, must-revalidate

Pragma: no-cache

Last-Modified: Tue, 12 Aug 2036 09:08:40 GMT

Connection: close

Transfer-Encoding: chunked

Content-Type: text/html; charset=koi8-r

Content-Encoding: gzip

Vary: user-agent

(Тело ответа: текст, html-код, данные и т.п.)

Далее следуют запросы графики (изображений) и других элементов, находящихся на веб-странице.

Методы обеспечения безопасности передаваемых данных

Чтобы обеспечить секретность передаваемых данных были предложены следующие решения:

• S-HTTP (англ. Secure Hypertext Transfer Protocol). Защищенный протокол передачи гипертекста, который является надмножеством HTTP и спроектирован, чтобы сосуществовать с моделью обмена сообщениями, применяемой в протоколе HTTP. Его можно легко интегрировать в уже существующее программное обеспечение.

• HTTPS (англ. HTTP over Secure Socket Layer или HTTP over Transport Layer Security). Протокол передачи гипертекста, использующий уровень защищенных сокетов. Данные, передаваемые по протоколу HTTP, «упаковываются» в криптографический протокол SSL или TLS, тем самым обеспечивается защита этих данных. HTTPS широко используется в мире веб для приложений, в которых важна безопасность соединения, например, в платежных системах.

Протокол S-HTTP, к сожалению, не получил широкого распространения.

Далее, мы рассмотрим взаимодействие по защищенному протоколу HTTP over TLS, который является более популярным.

HTTP over TLS

TLS, используя криптографию, предоставляет возможности аутентификации и безопасной передачи данных через Интернет. Часто происходит лишь аутентификация сервера, в то время как клиент остается неаутентифицированным. Для взаимной аутентификации каждая из сторон должна поддерживать инфраструктуру открытого ключа (PKI), которая позволяет защитить приложения клиент-сервер от перехвата сообщений, редактирования существующих сообщений и создания поддельных.

TLS включает в себя три основных фазы:

• Диалог между сторонами, целью которого является выбор алгоритма шифрования

• Обмен ключами на основе криптосистем с открытым ключом или аутентификация на основе сертификатов.

• Передача данных, шифруемых при помощи симметричных алгоритмов шифрования