HTTPS và TLS handshake hoạt động thế nào?

HTTPS = HTTP + TLS (Transport Layer Security). TLS handshake (TLS 1.3) gồm:

1. Client gửi ClientHello với danh sách cipher suites và key shares
2. Server chọn cipher, gửi ServerHello + certificate + Finished
3. Client verify certificate qua Certificate Authority chain, tính session key, gửi Finished. Sau đó dữ liệu được mã hóa đối xứng (AES-GCM) bằng session key — asymmetric crypto chỉ dùng trong handshake. TLS 1.3 giảm từ 2-RTT (TLS 1.2) xuống 1-RTT, thậm chí 0-RTT cho resumed sessions. Certificate pinning là kỹ thuật hardcode expected certificate trong app để chống MITM attack

Lập trình viên nên biết: expired SSL cert gây 526/525 error; Let's Encrypt cung cấp free cert tự động gia hạn; HSTS header buộc browser dùng HTTPS.