在上一篇文章里，我们把SSL证书比作了网站的“数字护照”，搞懂了它最核心的功能之一：身份认证。浏览器通过检查这本“护照”，确保了它正在对话的网站是“真身”，而不是一个冒牌货。
“身份验证”通过，就好比你和你的客户，终于在一个私密的VIP房间里见了面，并且确认了对方的真实身份。
但现在，一个新的问题出现了：你们的谈话内容，如何保证不被房间外的任何人窃听？
这就引出了SSL证书的第二个、也是大家最熟知的一个超能力——数据加密。
《从明文到密文：图解SSL如何为你的网站数据传输加上一把“安全锁”》
让我们再次回到那个简单又经典的“邮寄”比喻。
一个没有HTTPS的网站（HTTP），它所有的数据传输，都像是在用明信片通信。你在网站上输入的任何信息——用户名、密码、搜索的关键词、信用卡号——都会被一字不差地写在明信片上，然后发往服务器。
这张明信片，从你的电脑出发，要经过你家的路由器、小区的交换机、网络运营商（ISP）的机房，以及无数个公共网络节点，最后才能到达网站的服务器。在这条漫漫邮路上，任何一个“中间人”，都能像一个好奇的邮递员一样，轻松地翻看你明信片上的全部内容。
这种未经任何处理的、原始的、谁都能看懂的数据，我们称之为**“明文”（Plaintext）**。
而HTTPS要做的，就是彻底终结这种“明信片满天飞”的裸奔时代。它要把你所有的明信片，都装进一个坚不可摧的、用“火星语”写成的加密信封里。信封里的内容，我们称之为**“密文”（Ciphertext）**。
两种“加密算法”：对称与非对称
要理解HTTPS是如何施展加密魔法的，你得先了解一下加密世界的两大流派。
第一派：对称加密（Symmetric Encryption）—— “同一本密码本”
工作方式：这是一种非常古老且直观的加密方法。你（浏览器）和你的朋友（服务器），事先约定好一本独一-无二的“密码本”。你想给他寄信时，就用这本密码本，把“你好”加密成“X@#%”。他收到信后，再用同一本密码本，把“X@#%”翻译回“你好”。
优点：加解密的速度飞快。因为算法简单，所以非常高效，适合传输大量数据。
致命缺点：“密码本”如何安全地交给对方？ 在通信之前，你们俩必须得先拿到同一本密码本。但在危机四伏的互联网上，你怎么把这本至关重要的密码本，安全地送到对方手上而不被“中间人”偷走呢？这是一个“先有鸡还是先有蛋”的难题。
第二派：非对称加密（Asymmetric Encryption）—— “神奇的信箱与钥匙”
工作方式：为了解决上面那个难题，天才数学家们发明了这种更聪明的加密方式。它使用一对密钥，而不是一个密码本。
公钥（Public Key）：一把公开的“锁”，或者说是一个只收信不取信的“公共信箱”。你可以把这个信箱的地址，告诉全世界。任何想给你寄信的人，都可以把信投进这个信箱里（用你的公钥加密）。
私钥（Private Key）：一把私密的“钥匙”。全世界只有你拥有这把钥匙。只有用这把私-钥，才能打开那个“公共信箱”，读取里面的信件。
优点：完美地解决了“密码本配送”的难题。你完全可以把你的“公共信箱”（公钥）贴满全世界，而不用担心信件内容被破解。
缺点：加解密的过程，涉及复杂的数学运算，所以速度非常慢，比对称加密慢上百倍。如果用它来加密网站所有的数据，那网站会卡到让你怀疑人生。
天才般的结合：SSL/TLS握手的加密流程
好了，一个飞快但有配送风险，一个安全但慢如蜗牛。该怎么办？
小孩子才做选择，成年人全都要。SSL/TLS协议的天才之处，就在于它将这两派加密的优点，完美地结合在了一起。
它的核心思路是：用“慢而安全”的非对称加密，来安全地配送那个“快而高效”的对称加密的“密码本”。
让我们来完整地“图解”一下这个神奇的“握手”加密过程：
第一步：身份认证（上篇文章的内容）你的浏览器访问HTTPS网站，网站服务器出示自己的“数字护照”（SSL证书）。浏览器验证护照为真，并从护照里，拿到了网站的“公共信箱”（公钥）。
第二步：生成“临时密码本”浏览器在自己的“大脑”里，随机生成一个本次通信专用的、一次性的“密码本”（我们称之为“会话密钥”，Session Key）。这个密码本，就是我们之后要用来进行高速“对称加密”的钥匙。
第三步：用“公共信箱”安全地寄出“密码本”浏览器把这个新鲜出炉的“会话密钥”，塞进了它刚刚拿到的那个网站的“公共信箱”里（用网站的公钥进行加密）。然后，把这个“锁上的信箱”，发送给网站服务器。
第四步：用“私钥”取出“密码本”网站服务器收到了这个“锁上的信箱”。因为只有它自己，才拥有那把独一无二的“私钥”，所以它能轻而易举地打开这个信箱，成功取出了浏览器刚刚生成的那个“会话密钥”。 在这一刻，全世界只有两方——你的浏览器和网站服务器——同时拥有了这份一模一样的、一次性的“密码本”。而任何“中间人”，因为没有私钥，他截获的，只是一个无法打开的“加密信箱”而已，对里面的“密码本”一无所知。
第五步：切换到“高速加密”模式“密码本”安全送达！现在，浏览器和服务器双方，就可以扔掉那套又慢又笨重的“信箱和钥匙”了。它们会异口同声地说：“好了，接下来的所有悄悄话，咱们都用刚刚商量好的这本‘密码本’来聊！” 从此，你们之间所有的通信数据，都会通过这个“会话密钥”，进行高速的对称加密。
密文的世界是什么样的？
经过这番天才般的操作，你网站的数据传输，发生了翻天覆地的变化。
当你的用户在登录框里输入：password123
在HTTP的世界里，传输的就是这行明明白白的 password123。
而在HTTPS的世界里，经过“会话密钥”的加密，实际在网络上传输的，可能是一串这样的天书：aJk8#s@!*fG3$qP&zXvBn7*!h@cE6kLp...
那个在咖啡馆里试图窃听的黑客，他截获到的，就是后面这串毫无意义的乱码。没有那个只存在于你和服务器内存里的“会话密钥”，他就算用上全世界最强大的超级计算机，也几乎不可能在有生之年把它破解出来。
这把“安全锁”，锁住的，不仅仅是密码和信用卡号。它锁住了你和用户之间传递的每一个字节：他访问了哪个页面、他提交的留言内容、服务器返回给他的网页代码、你的商业机密……所有的一切，都被包裹在这个绝对私密的、无法被窃听、无法被篡改的“安全隧道”里。
现在，你应该彻底理解了。地址栏里那把小小的锁，背后蕴含着两大承诺：
身份的承诺（认证）：“我向你保证，你正在对话的，是你想找的那个人。”
隐私的承诺（加密）：“我向你保证，你们俩的对话，将是一个只有你们俩知道的、绝对的秘密。”
正是这种“认证”与“加密”的天作之合，才让我们的数字生活，从一个危机四伏的“明信片”时代，步入了一个可以安心交易、放心交流的“加密信封”时代。
