世界最大色情网站 Pornhub 用 HTTPS 数据加密，它如何让你更安全地看片？ | 深度

午休时间，小 A  戴着眼镜在办公室，盯着屏幕一脸紧张。

“哎呀，小 A 真不错啊，休息时间还这么积极开展工作。”

领导绕到了小 A 身后，准备嘉奖一番。

只见电脑屏幕上出现了不可描述的网站。

小A 一惊，结结巴巴地解释，“领导，我刚查资料，不知道怎么打开一个网站，就跳转到了这个网站”。

领导看了一眼浏览器地址栏上的“绿色小锁”，真相了然于胸。

领导看到“绿色小锁”应该是下面这一把：

（上班时间打开这个网站，雷锋网(公众号：雷锋网)编辑略有压力）

对了，这就是世界上最大的色情网站 Pornhub 。最近， Pornhub 和其姐妹网站 YouPorn 了采用 HTTPS 网页加密技术，因此，只要你打开这两家的网址，地址栏就会出现这把“绿色小锁”。

事实上，只要看到这把“绿色小锁”，基本能保证“你连接的是你想要连接的网站”。小 A 的诡辩因此被洞察……

HTTPS 是什么？老司机为什么加上“绿色小锁”

上羞羞网站被抓包，你害怕它的后果吗？2016年，曾发生过三起比较严重的色情网站信息泄露事件。

2016年5月，著名黑客 Peace in Mind（内心的平静）在著名暗网黑市 The Real Deal 挂出了一个“爆款”商品，那就是 4000万 Fling 的用户注册信息。包括所有用户的邮箱地址、注册名、明文密码、历史登陆IP地址以及生日。

2016年10月，成人约会和娱乐公司 Friend Finder Network 经历一次最大规模黑客攻击，导致超过4.12亿的账户信息泄露。该公司旗下有号称 “全世界最大约炮社区”的 Adult Friend Finder，以及 penthouse 等其他几个成人网站 。

2016年11月，成人网站 xHamster 有超过 380000 的用户数据在网络地下黑市被公开售卖，其中包括用户名、电子邮件地址以及经过 MD5 哈希密码，令人咋舌的是，其中还包含了美国军方以及英国等多国政府邮箱。

轻则有人购买这些信息给你推送相关羞羞广告，重则窃取信息，造成重大财务损失，还有更严重的，想必你可能在神剧《黑镜》里看过，以隐私信息相要挟，家破人亡也是有可能的。更甚者，你看，上面还有政府信息泄露。

采用 HTTPS 网页加密，加上“绿色小锁”有什么用？雷锋网曾在这样一篇文章《想看小黄片却担心被抓包？这些网站能让老司机放心“开车”》中就有探讨：

“使用 HTTPS，你的 ISP （互联网服务供应商）就不会知道你在色情网站上干了些什么，即使是政府和间谍也不能办到，因为这些信息是加密的。至于完整性，部署 HTTPS 可以防止第三方，或 ISP 恶意软件的注入。事实上，我们已经在自己的页面上实现了 HTTPS 加密。”美国民主与技术中心 CDT 首席技术专家 Joseph Hall 表示。

先不要一脸懵逼。看看为什么 Pornhub 为什么要抛弃 HTTP，转投 HTTPS 的怀抱。

超文本传输协议 HTTP 协议被用于在 Web 浏览器和网站服务器之间传递信息。也就是说，它是一个“传声筒”。但是，HTTP 协议以明文方式发送内容，不提供任何方式的数据加密，如果攻击者截取了 Web浏览器和网站服务器之间的传输报文，就可以直接读懂其中的信息，因此 HTTP 协议不适合传输一些敏感信息，比如信用卡号、密码等。

为了解决 HTTP 协议的这一缺陷，安全套接字层超文本传输协议 HTTPS 应运而生。为了数据传输的安全，HTTPS 在 HTTP 的基础上加入了 SSL 协议，SSL 依靠证书来验证服务器的身份，并为浏览器和服务器之间的通信加密。

HTTPS 和 HTTP 的区别主要为以下四点：

• HTTPS 协议需要到 CA 申请证书，一般免费证书很少，需要交费。

• HTTP 是超文本传输协议，信息是明文传输，HTTPS 则是具有安全性的 SSL 加密传输协议。

• HTTP 和 HTTPS 使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。

• HTTP 的连接很简单，是无状态的，HTTPS 协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比 HTTP 协议安全。

“说人话”的版本是，HTTPS 可以保证——

• 你浏览的页面的内容如果被人中途看见，将会是一团乱码。

• 你浏览的页面就是你想浏览的，不会被黑客在中途修改，网站收到的数据包也是你最初发的那个，不会把你的数据给换掉，搞出一个大新闻。

• 你连接的是你想要连接的网站，不会出现有人中途伪造一个网站给你。

这意味着，你在看羞羞的网站内容时，这些内容不会因为被人偷偷截取被发现，也不会明明要看羞羞的网站，却上了一个你不需要的卖壮阳药的网站。

HTTPS 工作原理：两位“地下党”接头纪实

一名久经考验的老地下党员终于要见到同志了，他们甩掉了跟踪他们的耳目，在一个隐秘的小巷，说一声“天龙盖地虎”，对方答“宝塔镇河妖”，成功对接，互道一声“同志你好”。

这就是 HTTPS 在传输数据之前需要浏览器与服务端（网站）之间进行一次“握手”，在握手过程中确立双方加密传输数据的密码信息。

对，这并不是正式传递内容，只是“加好友”。

两个互相不能信任的人开始了试探……

当然， HTTPS 使用的接头暗号绝对不是这么简单。他们使用的“密码本”比战争时期的更难破译。“接头暗号”TLS/SSL协议不仅仅是一套加密传输的协议，更是一件经过艺术家精心设计的艺术品，因为 TLS/SSL中使用了非对称加密、对称加密以及哈希算法。

全世界只有一种“加密的执着”可以和上面的加密程度媲美——情侣们为求天长地久一层一层地往树上挂满同心结，往桥上加锁。

两位“地下党”是这么接头的：

1.浏览器将自己支持的一套加密规则发送给网站。

2.网站从中选出一组加密算法与哈希算法，并将自己的身份信息以证书的形式发回给浏览器。证书里面包含了网站地址，加密公钥，以及证书的颁发机构等信息。

3.两人交换信物，开始验证信物。获得网站证书之后，浏览器要验证证书的合法性，比如，颁发证书的机构是否合法，证书中包含的网站地址是否与正在访问的地址一致等。

如果证书受信任，则浏览器栏里面会显示一个小锁头，否则会给出证书不受信的提示。如果证书受信任，或者是用户接受了不受信的证书，浏览器会生成一串随机数的密码，并用证书中提供的公钥加密。

然后两位同志使用约定好的哈希计算消息，使用生成的随机数对消息进行加密，最后将之前生成的所有信息发送给网站。

一方发出了好友认证申请……

4.网站接收浏览器发来的数据后，开始了疯狂解密的过程。

• 首先，它使用自己的私钥将信息解密取出密码，使用密码解密浏览器发来的握手消息，并验证哈希是否与浏览器发来的一致。

• 然后，使用密码加密一段握手消息，发送给浏览器。

5.浏览器解密并计算握手消息的哈希，如果与服务端发来的哈希一致，此时握手结束，之后所有的通信数据将由之前浏览器生成的随机密码并利用对称加密算法进行加密。

这里浏览器与网站互相发送加密的握手消息并验证，目的是为了保证双方都获得了一致的密码，并且可以正常的加密解密数据，为后续真正数据的传输做一次测试。

这是互相试探的前奏，只有认证成功，他们才真正开始传输。

接受好友申请，他们即将开展友好往来……

有 HTTPS 就能放心开车？

就当羞羞网站张开怀抱拥抱 HTTPS ，你以为万事大吉，可以放心嘿嘿嘿时，还有一些小插曲可能会让你心生疑虑。

（并不是这个问题）

外媒 wordfence 曾有一篇文章指出：在许多假冒知名公司的钓鱼网站中，如假冒 Google、微软、苹果等，所使用的 SSL 证书来自多个认证机构（CA）的颁发。Chrome 浏览器只对 SSL 证书的有效性进行判断，如果有效则直接将网站显示为“安全”。

即使网站证书已被 CA 认证机构撤销，Chrome 浏览器仍将站点标识为“安全”。已撤销”状态仅在 Chrome 开发人员工具中可见。而已发布有效 SSL 证书的恶意网站，需要一段时间后才会被拉入Chrome 的恶意网站列表中。

这是CA 证书失效延迟可能造成的后果。

知乎计算机问题优秀答主“车小胖”认为：HTTPS 并不是 100% 绝对可靠。

“斯诺登暴露出，针对IPsec，TLS的密钥交换所依赖的Diffie-Hellman算法攻击，即通过离线的超级计算机预先计算出海量的公钥、私钥对，一旦尝试出私钥就会得到Master Key，进而推导出session key，这样历史数据、现在、将来的数据全可以解密。

以上是被动攻击方式，针对数字证书欺骗则属于主动攻击，可以实时地解密用户数据。但种种主、被动攻击难度都很高，往往是以国家意志为源动力，而不是一些小团体所能完成的。”

雷锋网编辑还检索到，在一则《“净广大师”病毒 HTTPS 劫持技术深度分析》的文章中，还有病毒”劫持”SSL 证书的案例。

该病毒是通过代理的方式，以中间人攻击的形式来劫持 HTTPS 流量。当浏览器访问某度时，病毒驱动会将连向某度(61.135.169.125) 443端口 (HTTPS) 的链接重定向到本地的 10100 监听端口，explorer 中的病毒代码再代替浏览器发起与远端Web服务器的链接进行通讯。该病毒同时通过自己携带的证书分别与浏览器和远端 Web 服务器完成 SSL 握手，进而以中间人攻击的形式完全控制 HTTPS 链路通信。

如果你还注意到这句话——“HTTPS 协议需要到 CA 申请证书，一般免费证书很少，需要交费”，就会发现“HTTPS ，不是你想用就能用”。因此，一些免费发送证书的机构应运而生。

免费的午餐被利用时，用户吃到的可能是苍蝇。

比如，非营利网络认证发放机构 Let's Encrypt 推出了开源免费的HTTPS认证服务。不过，据中关村在线报道，近期有专家发现，Let's Encrypt 发放的认证证书有被滥用的趋势。该报道还指出“迄今已发行15270个内含 PayPal 字样的证书，当中约有 96.7 %被用于钓鱼网站，这表示约有 14766 个钓鱼网站已经拥有与 PayPal 相关的证书”。

最后，照顾到部分看上去“什么技术也不懂”的 Pornhub 等类似网站用户的需求，雷锋网编辑向一位资深互联网从业人士请教了实操建议：

• 在不考虑 CA 证书失效的基础上，直接在地址栏里面输入的 HTTPS  是安全的，跳转的 HTTPS 不一定安全。也就是说，访问一个 HTTP 的链接，网站跳转到 HTTPS 还是可能被劫持，所以访问时最好确认第一次打开的地址栏里就带 HTTPS 。

• HTTPS 安全也是假定你的电脑没有被入侵，是干净的。如果你电脑已经被控制了，那就没什么安全可言了。

• 跳转 HTTPS 的场景大量存在，不是资深用户的话不要轻易相信公共场所无线AP的安全性，即使用 HTTPS。 

。