聊聊浏览器里的那把锁：HTTPS 如何让你安全冲浪？( 二 ) 多年以前

少数派给的答复也比我所举的例子复杂得多，这里选取的几项分别是：
从你所给的几种算法中挑了一种，双方都合适的
也生成了一个随机数
给了你所需网站的证书
HTTPS 的安全通道尚未建立，但是我们有必要先来看一下这张证书。
证书，一个文件袋
经过和少数派的第一次通信，你拥有了一张证书；或者说是一个文件袋，里面装满了各种文件，可供查验和使用。你可以在任何浏览器中看到这张证书。

文章图片

文章图片
例如使用 Google Chrome 打开少数派网站，地址栏的左侧会出现一把小锁。点击之后，可以查看证书的详细情况：

文章图片

文章图片
这张证书主要包含以下信息：
证书颁给了哪个或哪些网站（使用者）
证书的有效期的起止时间（有效期）
一个公钥
证书是由谁颁发的（颁发者）
接下来，你会一一对这些信息进行处理。
第一项很好理解，使用者，就是这张证书对谁有效。你看了一眼，嗯， *.sspai.com ，这是一个通配符域名，意思就是对所有 sspai.com 的域名都有效。好的，它确实符合少数派网站的网址，验证通过。
第二项，有效期，也很容易。你在自己的电脑上查了一下时间， 2021 年 8 月，确实是在有效期区间内，好的，验证通过。
第三项是一个公钥，先存下来后面用。
第四项，颁发者，虽然你知道了这张证书是由一个叫做 RapidSSL TLS DV RSA Mixed SHA256 2020 CA-1 的人颁发的。但这个人又是谁，他值得信任吗？

文章图片

文章图片
这就要看证书中的最后一项内容，证书路径。在这里，我们可以通过一个树形图，清晰地看到我们当前这个证书的信任链。对于列表中的每一项，都可以通过右下方「查看证书」按钮，读取到这一项的证书信息。
也就是说，列表中的每一项其实都是一张完整的证书。在这个例子中：
RapidSSL TLS DV RSA Mixed SHA256 2020 CA-1 保证了 *.sspai.com 的证书是可信任的
DigiCert 保证了 RapidSSL TLS DV RSA Mixed SHA256 2020 CA-1 的证书是可信任的
浏览器，或者操作系统，充分信任 DigiCert（浏览器或操作系统会维护一个受信任的列表）
因此，随着一层层的信任关系你也就信任了 *.sspai.com 这张证书；这种信任带来的最重要的意义在于——你相信，证书中包含的那个「公钥」确实是属于少数派的，而不是其中任何一个邮差伪造的。
所以，证书带来的结果就是：你拥有了一个确信是少数派的公钥。
HTTPS 的初次加密尝试
公钥就像是从证书这个文件袋中捎过来的一个信封，一旦封口，就只有证书拥有者使用私钥才可以打开；换言之，你只要用这个信封寄送，那么就只有少数派可以读到（啊，用于封口的是一种神奇的胶水，这是由数学原理保证的）。
你可以放心地使用从证书中找到的这枚公钥。如果你决定试一下，便可以生成一个随机数 36721 ，写在明信片上，然后兴致勃勃地把明信片装进信封，仔细地封好口子。
【这是只有你和少数派才可以看到的内容】
现在，你交给邮局的不再是体无遮拦的明信片，而是一个信封。邮差看不到信件的内容，他只知道这封信送往何处；少数派成功收到了这封信，并使用少数派的私钥拆开了信封。最后一个随机数成功送达。