tls是什么意思

你打开浏览器，意思地址栏左边那个小锁图标，意思点开就能看到“连接是意思安全的”几个字。这背后干活儿的意思，就是意思TLS。全称Transport Layer Security，意思传输层安全协议。意思名字听着挺学术，意思说白了就一件事：让你和网站之间传的意思数据，别人偷不走、意思改不了。意思

我头一回认真琢磨TLS，意思是意思因为公司内网被人抓了包。运维同事用Wireshark一抓，意思发现某个内部管理后台的意思登录请求居然是明文的，用户名密码大摇大摆躺在数据包里。那会儿我才意识到，没有TLS的HTTP，跟在大街上喊自己银行卡密码没什么区别。

TLS的工作方式，可以粗暴理解成“先握手，再加密传输”。握手阶段，你的浏览器和服务器要商量几件事：用哪个版本的TLS、选哪种加密算法、怎么交换密钥。这个过程有点像两个特工对暗号，对上了，才建立一条加密通道。通道建好之后，你发的每一条请求、服务器返回的每一个字节，都是加密的。

加密本身用的是混合加密体系。握手阶段用非对称加密（比如RSA或ECDHE）来安全地交换一个“会话密钥”，之后的数据传输就改用对称加密（比如AES）。为什么这么折腾？因为非对称加密安全但慢，对称加密快但密钥分发不安全。把两者拼起来，既安全又够快。这个设计思路其实挺朴素的，就是各取所长。

证书是TLS体系里另一个绕不开的东西。服务器要证明“我就是你访问的那个网站”，就得拿出CA（证书颁发机构）签发的数字证书。浏览器内置了一堆受信任的CA根证书，拿服务器的证书链一验证，对得上就放行，对不上就弹红色警告。去年有个客户图省事，用了自签名证书上线，结果所有用户打开都看到“您的连接不是私密连接”，投诉电话被打爆。后来换成Let's Encrypt的免费证书，问题才解决。

Let's Encrypt这件事值得多说一句。它2015年上线之前，SSL/TLS证书动辄几百上千块一年，很多小网站干脆就不装了。Let's Encrypt把证书变成免费、自动化签发，直接推动了HTTPS普及率从不到40%涨到现在的90%以上。这个变化对普通用户的意义是：你现在随便打开一个正经网站，大概率都是加密的，不用再担心咖啡店WiFi被人截胡。

TLS的版本迭代也很有意思。SSL 3.0之后改名叫TLS 1.0，然后1.1、1.2、1.3一路走过来。TLS 1.3是2018年定稿的，砍掉了不少老旧算法，握手过程也从两次往返压缩到一次，延迟明显降低。我自己的博客服务器去年切到TLS 1.3之后，移动端首屏加载大概快了100毫秒左右。数字不大，但体感上确实能觉出来。

不过TLS也不是万能护身符。它保护的是传输过程，服务器本身被黑了、数据库被拖了，TLS帮不上忙。另外，TLS加密的是内容，不隐藏你访问了哪个域名——SNI字段在握手阶段还是明文的，除非用上ECH（Encrypted Client Hello）。这玩意儿目前还在推广阶段，支持面不算广。

日常上网的时候，看到锁图标不代表万事大吉。钓鱼网站也能申请免费证书，照样给你上TLS。锁只说明“传输是加密的”，不说明“这个网站是好人”。这两件事得分开看。我自己习惯是：看到锁，确认传输安全；至于网站本身靠不靠谱，还得看域名拼写、看内容、看自己是不是从正规入口点进去的。

说到底，TLS就是互联网的“密封信封”。你写信的时候，信封是透明的还是密封的，差别很大。TLS负责把信封封好，至于信里写的内容对不对、收信人是不是骗子，那是另一个层面的问题。但至少，先把信封封上，这是最基本的一步。