Урок 7 — HTTPS и TLS

Замочек 🔒 в адресной строке. Что он значит? Как браузер «знает», что сайт настоящий, и почему никто не может подглядеть твой пароль на пути от Лондона до Франкфурта? Это работа TLS.

1. Зачем нужен HTTPS

В уроке 6 мы видели, как HTTP-запрос — это обычный текст. Кто-то с доступом к каналу (Wi-Fi в кафе, провайдер, государство) видит всё: твои пароли, переписку, банковские данные. Это не приемлемо.

HTTPS = HTTP + TLS. TLS — это «прозрачная труба шифрования». HTTP-запрос идёт сначала в TLS, тот шифрует и передаёт. На той стороне TLS расшифровывает и отдаёт HTTP-серверу. Само HTTP-приложение даже не знает, что выше есть шифрование.

2. Три гарантии TLS

Когда ты видишь 🔒 в браузере, TLS обеспечивает три вещи. Запомни их — это сердце всей криптографии:

3. Минимум криптографии

Чтобы понять TLS, нужно различать два типа шифрования.

Симметричное

Один ключ — и для шифрования, и для расшифровки. Быстро, эффективно. Алгоритмы: AES, ChaCha20.

Асимметричное (public-key)

Два ключа: приватный (тайный, никогда не покидает владельца) и публичный (можно отдавать всем). Что зашифровано публичным — расшифровывается только приватным. Алгоритмы: RSA, ECDSA.

Цифровая подпись

Обратная задача: приватный ключ «подписывает», публичный — проверяет подпись. Это доказательство, что документ создал именно владелец приватного ключа. Используется в сертификатах.

4. Что такое сертификат

Сертификат — это файл, который содержит:

• Доменное имя (для кого выпущен): example.com
• Публичный ключ сервера
• Срок действия (от — до)
• Кто выпустил (Issuer)
• Подпись того, кто выпустил

Когда клиент получает этот файл, он:

1. Проверяет имя — совпадает ли с тем, к кому он идёт
2. Проверяет срок — не истёк ли
3. Проверяет подпись — настоящий ли это сертификат

Если хоть один шаг провалился — браузер показывает страшное предупреждение.

5. Кто такие CA и почему им доверяют

CA — Certificate Authority (центр сертификации). Это компания/организация, которая выдаёт сертификаты. Известные CA: Let's Encrypt, DigiCert, Sectigo, GlobalSign, AWS ACM.

Как браузер знает, что CA — настоящий?

В каждой ОС / браузере вшит набор «корневых» CA-сертификатов — это trust store. На macOS — в Keychain. На Linux — в /etc/ssl/certs/. На Windows — в системе. Их там пара сотен.

Промежуточные CA нужны для безопасности — если их ключ скомпрометируется, отозвать можно отдельно, не трогая корневой. Корневые ключи хранят оффлайн в специальных HSM-устройствах.

6. TLS handshake шаг за шагом

Когда браузер открывает HTTPS-сайт, перед обменом HTTP-данными происходит «знакомство» — TLS handshake. В TLS 1.3 это 1 RTT (round-trip):

Ключевая магия — обмен ключами Диффи-Хеллмана (ECDHE в TLS 1.3). Не вдаваясь в математику: благодаря свойствам асимметричной криптографии, две стороны могут публично обменяться сообщениями и в результате прийти к общему секрету, которого никто посередине не сможет вычислить, даже если запишет все сообщения.

А сертификат тут зачем? Чтобы клиент удостоверился, что разговаривает с настоящим сервером, а не с MITM-прокладкой, которая тоже честно делает Diffie-Hellman.

7. Let's Encrypt и автоматизация

Раньше сертификаты стоили $50-500 в год и выпускались вручную через email-подтверждение. С 2015 года Let's Encrypt раздаёт сертификаты бесплатно и автоматически. Это перевернуло индустрию: сейчас 90%+ сайтов в мире на HTTPS.

Принцип ACME-протокола: ты доказываешь Let's Encrypt, что владеешь доменом, и через 30 секунд получаешь сертификат на 90 дней. Перед истечением — продлеваешь автоматически.

Способы подтверждения владения:

• HTTP-01: положи файл по адресу http://example.com/.well-known/acme-challenge/<token>
• DNS-01: добавь TXT-запись _acme-challenge.example.com
• TLS-ALPN-01: подними TLS-обработчик специального ALPN-протокола

В DevOps-практике:

• На сервере — certbot: ставится одной командой, обновляет автоматически
• В Kubernetes — cert-manager: оператор, выпускает сертификаты по аннотациям
• В AWS — ACM: бесплатные сертификаты, привязываются к ALB / CloudFront

8. mTLS — взаимная аутентификация

Обычный TLS аутентифицирует только сервер. Клиент анонимен (или аутентифицируется через Authorization-заголовок поверх TLS).

В mTLS (mutual TLS) обе стороны предъявляют сертификаты. Сервер тоже проверяет клиента. Это идеально для:

• Service mesh (Istio, Linkerd) — каждый микросервис аутентифицируется сертификатом
• Zero Trust — идентичность сервиса = сертификат, а не IP
• API между партнёрами — не пароли в Vault, а сертификаты

Это твой хлеб как DevSecOps. Запомни и приходи позже.

9. Что с этим делает DevOps

10. Команды и упражнения

Посмотреть сертификат сайта

# Показать сертификат и цепочку
openssl s_client -connect example.com:443 -servername example.com < /dev/null

# Только полезная информация — даты, имя, эмитент
echo | openssl s_client -connect example.com:443 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates -text

# Узнать, когда истекает (одной строкой)
echo | openssl s_client -connect example.com:443 2>/dev/null \
  | openssl x509 -noout -dates

# Полная цепочка
openssl s_client -connect example.com:443 -showcerts < /dev/null

Проверить, какие TLS-версии поддерживает сервер

# Попытка по разным версиям
openssl s_client -connect example.com:443 -tls1_2 < /dev/null
openssl s_client -connect example.com:443 -tls1_3 < /dev/null

# Внешний сервис — детальный отчёт
# https://www.ssllabs.com/ssltest/

Сгенерировать самоподписанный сертификат (для тестов)

# Один файл — приватный ключ + сертификат
openssl req -x509 -newkey rsa:4096 \
  -keyout key.pem -out cert.pem \
  -days 365 -nodes \
  -subj "/CN=localhost"

# Теперь можно поднять локальный HTTPS:
# nginx, caddy, или Python:
python3 -c "
import http.server, ssl
s = http.server.HTTPServer(('localhost', 8443), http.server.SimpleHTTPRequestHandler)
ctx = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
ctx.load_cert_chain('cert.pem', 'key.pem')
s.socket = ctx.wrap_socket(s.socket, server_side=True)
s.serve_forever()
"

curl с диагностикой TLS

# curl покажет цепочку и handshake
curl -v https://example.com 2>&1 | grep -E '(SSL|TLS|subject|issuer)'

# Игнорировать ошибки сертификата (только для дебага!)
curl -k https://self-signed.example.com

11. Чек-лист «понимаю это»

12. Задачи — реши сам (ответы спрятаны)