佛祖说道，这猴子我倒是把他压到山下了，他虽性格顽皮，却也有些神通，调教调教，还是可堪大用的。我目前的安排是磨砺他500年，让他养养性子。等时候到了，放他出来，我们佛教在人间的宣传事宜就靠他了，金蝉子最后会转世成一个手无缚鸡之力的唐三藏，怎么说也得有个保镖啊。
降龙说道，对对对，而且孙悟空跟玉帝那边闹得那么僵，我们正好可以收为己用，我们跟道教这两大巨头，他迟早得选一边站队。
佛祖接着说道，可是我现在还有个事没想好，所以特意把你们几个叫过来商量商量。就是我关孙猴子的时候吧，给五行山设了个口令密码，叫做“唵嘛呢叭咪吽”。到时候唐三藏走到山的跟前，把这个口令密码念出来，五行山的封印就会解除，猴子就能自己出来了。
伏虎说，这不挺好的吗？
佛祖说道，现在问题的关键是，我应该怎么把这个口令密码告诉唐三藏呢？
伏虎心直口快：这有啥难的，我到时候跑一趟腿，去凡间一趟告诉他不就行了吗？
降龙摇了摇头，不行，现在不比以前了，这两年我们和道教的竞争愈发白热化，各方面都要争个高低。三藏解救悟空这事一定会登上那天的仙界热搜榜，到时候如果道教那帮人知道我们居然还在用跑腿的方法跟凡间通信，简直会笑掉大牙！
伏虎点了点头，说道，是啊，跑腿在这个时代确实有点low了，那咋整啊，总不能找个纸条写上“唵嘛呢叭咪吽”然后贴山上吧，这不是傻子才干的事嘛！
突然佛祖咳嗽了一声，伏虎瞅见佛祖满脸不悦，也不知道自己哪句话说错了，赶紧闭上了嘴。
佛祖说道，山上贴条这事确实不能干了，孙悟空现在在妖界还有不少关系，有大批他的拥趸想着救他出去呢。口令密码就这样堂而皇之的公开，万一被他们救了，岂不是很没面子？
降龙说，那要不我直接用千里传音术告诉三藏吧。
伏虎问，千里传音容易被他旁边的人听到啊，这样会泄密的。
降龙摇了摇头，不会，现在千里传音早就规范化了。为避免混乱，整个仙界目前都在用同一种规则来进行传音，这个规则指定了接收方，以及发出请求和期待回应的类型，这样的话三藏就会知道我是发给他的，而且别人不会收到。这套规则还有个洋气的名字叫做HTTP协议。
佛祖问道，虽说别人不会收到，但抵不住有心之人窃听啊，所谓隔墙有耳。一旦玉帝那边的顺风耳发现你在用HTTP给三藏千里传音，他们仔细听听，就会知道口令密码是唵嘛呢叭咪吽。这种明文传输太不保密了。
伏虎说，是啊，那要不我们给这段密码加密一下吧，我知道一个加密系统，叫做对称加密。用一串密钥可以把任意文字都加密成一堆神秘字符，谁也看不懂这串字符啥意思，只有用同样的一串密钥才能把这堆神秘字符解密出来，变成“唵嘛呢叭咪吽”。我们千里传音可以传这堆神秘字符，就算被顺风耳听见了，他也不知道啥意思。
伏虎的对称加密方案
降龙接过话来说道，顺风耳是看不明白，可三藏也看不明白啊。我们还得把这串解密用的密钥“伏虎”，也告诉三藏，这个过程也可能被顺风耳截获，他也会知道密钥是“伏虎”了，他也就能解密了。
佛祖叹气道，是啊，这样还是不保险。怎么样才能保证千里传音的内容不被玉帝那边的人解密呢？
伏虎灵光一闪，说道，我们可以让三藏准备两串密钥啊！一串公开的用来加密，就叫他三藏公钥吧，任别人截获，无所谓。解密的时候却用另一串私有的，叫做三藏私钥，让三藏自己藏好，也就是说，用三藏公钥加密的内容只能用三藏私钥解密。这样的话，我们可以先跟三藏要过来他的公钥，然后用三藏公钥加密，这个过程被顺风耳听到也没关系，因为他没有三藏私钥，他是解不开的，哈哈！
伏虎的非对称加密方案
降龙说道，说的这么玄乎，这不就是非对称加密系统嘛。我要纠正你一个错误，非对称加密系统里，并不是说公钥就是用来加密的，私钥就是用来解密的。而是他俩都可以进行加密解密的操作，但是公钥加密的密文，只能用对应的私钥解密；私钥加密的密文，只能用对应的公钥解密。他俩是一对儿。不过你说的方法听起来确实挺安全的。
佛祖又叹气道，你们啊，naive。你们不会以为玉帝就这点本事吧？我问你，你怎么就知道你收到的公钥是三藏发来的呢？万一你们俩的通信早就引起了玉帝那边的注意，那他在三藏发出公钥后，拦截掉，并替换成自己的公钥，模仿成三藏的信息再发给你呢？
伏虎一拍大腿，是啊，这样的话，我们就在用玉帝的公钥加密了，那人家再把回信拦截，完全可以破解啊。所以目前的问题就是，如何才能证明我们收到的公钥没有被别人篡改过呢？
降龙挠了挠头，说道，看来得引入一个证书机制了，需要证明我们收到的公钥就是三藏的。
伏虎疑惑道，怎么证明？
降龙接着说道，现在的情况是，我们不确定对方是不是三藏，三藏也不确定我们是不是大雷音寺，双方没有信任，所以需要引入一个双方都信任的第三方机构。我们可以建立一个类似公证处的证书签发机构，就叫他“CA”吧。我们和三藏都无条件信任CA，都承认CA签发的证书是有效的，可以证明我是我，他是他。
然后让三藏把自己的名字加公钥发给CA，CA用自己的私钥给三藏发来的内容加密，然后把原文和加密后的内容放到一起，生成一张数字证书。由于CA的私钥只有CA知道，并且CA私钥加密的内容只有CA公钥可解密，那么我们只要拿CA公钥去解密密文，再和原文进行对比，看是否一致，不就知道三藏的公钥有没有被篡改过了吗？
降龙的验证证书方案
伏虎说，但是最后我要拿CA的公钥的解密啊，你怎么保证CA的公钥是真的呢？
降龙回答道，对，这是一个信任链的起点。CA成立的时候，会给自己也颁发一个证书，我们可以叫它“根证书”，里面有CA的公钥。这份根证书特殊在它是自己给自己发的，因此你如果接受了根证书，代表你对这个机构的信任，而确认这份信任，是一劳永逸的事情。你只需要确认这一份根证书是真的，那以后这个机构签发的证书，你都可以用根证书来验证。同理，三藏也可以用CA的公钥来验证我们大雷音寺的证书是不是别人伪造的。
伏虎恍然大悟道，soga，我好像有点明白了。
佛祖此时插话道，嗯，这个证明关系看起来已经十分安全，可以证明三藏的公钥没有被篡改过。有了三藏的公钥，我们就可以与他进行交流通信，而且不怕被顺风耳监听篡改了，因为别人听了也听不懂，被篡改了我们立刻就能发现。但是公钥看起来十分的复杂冗长，有没有一种方法可以把公钥变短一点，比对起来方便一点？
降龙答道，佛祖果然是心有猛虎，细嗅蔷薇。想达到这个要求，我们可以引入哈希算法。哈希算法有三个主要特性：一致性、无冲突和不可逆。
佛祖笑道，哦？仔细讲讲。
降龙接着说道，所谓一致性就是一样长，就是说无论你的内容是什么，用哈希算法加密后生成的密文都是相同长度的。举个例子，无论你要加密的内容是一个字还是一万个字，用哈希算法加密后，生成的密文都是十六个字，看着十分的整齐规整。
哈希算法的一致性
所谓无冲突，就是不会有两个不一样的内容，加密后的密文是一样的，就如世上没有两片相同的树叶一样。当然，如果是同样的内容，那加密后的内容还是一样的。
所谓不可逆，就是你不能解密，你无法通过密文推算出原内容是什么。
伏虎插嘴道，等等，如果不能解密，我怎么知道原文的公钥没有被改过？
佛祖又笑道，你可以拿着公钥用同样的哈希算法加密，看加密后的内容一样不一样不就行了？
对哦，伏虎小声喃喃道，一时没转过弯来。
降龙接着说道，是的，由于哈希算法加密后的密文是比较简短的，像个摘要一样，所以我们称它为“消息摘要”吧。这样的话，那整个验证证书流程就变成了：
降龙的最终验证方案
在我们和三藏通信的时候，我们双方交换证书，然后用CA的公钥验证，就可以证明我是我，他是他，再然后我们就可以安全的进行通信，不怕消息被监听和篡改啦！
佛祖若有所思，说道，这样的话，最终我们跟三藏通信的过程就是这样的：
整个通信的过程
降龙接着说道，对的。由于这样通信比HTTP安全些，所以这个通信的方式被叫做HTTPS。为了安全起见，我们以后就只跟有证书的人进行千里传音，跟没证书的传音可就要多长个心眼了！
佛祖长舒一口气，安心的跟众弟子说，以后就用这个方式跟凡间交流，散会！
话音刚落，降龙突然站起来喊道，等一下，各位老铁走的时候别忘了给我点个在看啊！
往期精彩：
本文分享自微信公众号 - 李纳克斯Linux（LinuxTalk）。
如有侵权，请联系 [email protected] 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一起分享。